La feuille de route, à lire
Toute la feuille de route, dans l’ordre : 224 gestes, domaine par domaine, chacun avec son pourquoi et son comment. À lire ici, ou à emporter — impression, PDF ou Excel (83 outils et 57 termes inclus).
Les fondamentaux
- Lire les conditions d’utilisation avant d’accepter
Cliquer « J’accepte » sans lire, c’est signer un contrat les yeux fermés. Parcourez au moins ce que le service fait de vos données, comme vous liriez les ingrédients pour éviter un allergène.
Repérez ce que le service collecte, revend et partage ; ToS;DR (tosdr.org) résume les clauses les plus problématiques à votre place.
- Considérer Internet comme non sécurisé par défaut
Partez du principe que tout ce qui transite en ligne peut être lu, copié ou détourné. Avant d’envoyer une pièce d’identité pour une location ou le scan d’une carte, demandez-vous si le destinataire mérite vraiment cette confiance.
- Adopter une posture consciente face à ses écrans
La plupart des attaques misent sur votre pilote automatique : le clic réflexe sur un pop-up, le lien alléchant, la réaction impulsive. Reprendre la main sur ces automatismes bloque à lui seul une grande partie des menaces.
- Faire une pause quand un message joue sur l’émotion
L’urgence, la peur ou l’excitation sont exactement les leviers de l’ingénierie sociale : on vous presse pour vous empêcher de réfléchir. Dès qu’un message déclenche une émotion forte, arrêtez-vous, respirez, et n’agissez qu’ensuite.
- Se poser trois questions avant de réagir à un message
Avant de cliquer ou de répondre, filtrez : ce message était-il attendu, l’expéditeur est-il vraiment celui qu’il prétend être, et est-il normal d’être sollicité de cette façon ? Trois réflexes qui suffisent à démasquer la majorité des pièges.
Ce message est-il attendu ? L’expéditeur est-il celui qu’il prétend être ? Est-il normal d’être sollicité de cette manière ?
- Cartographier sa surface d’attaque (1/5) : inventorier ses appareils
On ne protège que ce qu’on a recensé. Listez tout ce qui se connecte : ordinateurs, téléphones, objets connectés, imprimantes, disques et clés USB, avec leur système et leurs versions. Chaque appareil oublié est un angle mort.
Notez ordinateurs et portables (OS et versions), mobiles (modèle, OS, apps principales), objets connectés (thermostats, caméras, assistants vocaux) et périphériques (imprimantes, disques externes, clés USB).
- Cartographier sa surface d’attaque (2/5) : lister ses comptes en ligne
Chaque compte est une porte de plus sur votre vie numérique. Recensez-les tous : adresses e-mail, réseaux sociaux, banques et paiements, commerces, streaming, forums. Ce que vous ne listez pas, vous ne le sécuriserez pas.
Notez vos adresses e-mail, vos comptes réseaux sociaux, vos comptes bancaires et de paiement, vos comptes marchands, puis tout le reste (streaming, abonnements, forums).
- Cartographier sa surface d’attaque (3/5) : localiser ses données importantes
Vos documents sensibles vivent quelque part : sur le disque, sur un disque externe, dans le cloud. Sachez précisément où, car on ne peut ni sauvegarder ni défendre des données dont on a perdu la trace.
Repérez où sont vos documents importants (actes, passeports), vos photos et vidéos, vos relevés bancaires et déclarations fiscales, et vos éventuelles données professionnelles.
- Cartographier sa surface d’attaque (4/5) : évaluer ses vulnérabilités
Passez chaque appareil et chaque compte au crible : pare-feu et antivirus actifs, mises à jour faites, mots de passe solides, double authentification, données chiffrées et sauvegardées. Partout où la réponse est « non », vous tenez une faille.
Vérifiez les protections de base (pare-feu, antivirus, mises à jour), la robustesse des mots de passe et la 2FA, puis la protection des données (chiffrement, sauvegardes, accès restreint).
- Cartographier sa surface d’attaque (5/5) : identifier ses points critiques
Tout ne se vaut pas. Repérez les appareils que vous utilisez le plus, les comptes qui contiennent le plus d’informations sensibles, et les données qui feraient le plus de dégâts si elles fuitaient. C’est là que vous concentrerez vos efforts.
Notez les appareils les plus utilisés pour des accès sensibles, les comptes les plus exposés, et priorisez les données dont la compromission coûterait le plus cher (financières, personnelles, professionnelles).
- Reconnaître les signes d’une compromission
Un appareil qui ralentit sans raison, des programmes ou fichiers que vous n’avez pas installés, des messages d’erreur inhabituels : ce sont les ratés du moteur. Un changement notable de comportement mérite une enquête, pas un haussement d’épaules.
Surveillez les lenteurs et plantages inhabituels, les applications ou fichiers inconnus, les fenêtres d’erreur ou alertes de sécurité inattendues.
- Surveiller régulièrement l’activité de ses comptes
Une connexion depuis un lieu inconnu, un mot de passe modifié sans vous : ces traces révèlent une intrusion avant qu’elle ne fasse des dégâts. Jetez un œil régulier à l’historique de connexion de vos comptes sensibles.
- Vérifier une alerte de connexion sur le site, jamais via le message
Un e-mail « connexion suspecte détectée » est le déguisement préféré du phishing. Ne cliquez jamais sur son lien : ouvrez vous-même le site officiel et, si l’alerte est réelle, vous la retrouverez dans votre compte.
- Garder son sang-froid quand on suspecte une attaque
La panique pousse aux décisions précipitées, qui aggravent presque toujours la situation. Face à une attaque, la première chose à faire est de rester calme : évaluez posément l’ampleur du problème avant d’agir.
- Mettre en place des sauvegardes régulières
Le regret numéro un après une attaque, c’est de ne pas avoir sauvegardé. Avec des copies récentes de vos fichiers, un ransomware devient un contretemps, pas une catastrophe : vous restaurez au lieu de payer la rançon.
Automatisez des sauvegardes régulières de vos données importantes, gardez-en une copie hors ligne ou hors site, et testez de temps en temps que la restauration fonctionne vraiment.
- Préparer un plan de réaction en cas d’attaque
Le pire moment pour improviser, c’est en pleine crise. Décidez à froid les premiers gestes : déconnecter l’appareil infecté du réseau, changer immédiatement les mots de passe critiques, et savoir qui alerter.
Notez à l’avance comment isoler un appareil compromis (couper le Wi-Fi et le réseau), quels mots de passe changer en priorité, et vers qui vous tourner.
- Analyser un incident après coup pour renforcer ses défenses
Une attaque subie sans en tirer de leçon appelle la suivante. Une fois le calme revenu, reconstituez ce qui s’est passé et par où c’est entré, puis colmatez cette brèche précise pour qu’elle ne se rouvre pas.
- Se doter d’outils pour surveiller ses appareils
L’œil humain ne voit pas tout : un antivirus à jour et des alertes bien réglées repèrent une activité suspecte pendant que vous vaquez à autre chose. La détection précoce, c’est ce qui transforme une intrusion en simple frayeur.
- Se former et s’informer en continu
Les arnaques évoluent plus vite que n’importe quel logiciel. Votre meilleure défense n’est pas un outil mais votre propre vigilance : continuer à apprendre est exactement ce qui fait tenir votre résilience dans le temps.
- Investir dans quelques outils bien choisis
Se protéger ne veut pas dire vider son portefeuille. Quelques dépenses modestes et bien placées, comme un gestionnaire de mots de passe ou une solution de sauvegarde, font plus pour votre sécurité que dix gadgets coûteux.
- Tester régulièrement ses protections
Une sauvegarde jamais restaurée ou une alerte jamais déclenchée ne valent rien le jour venu. Testez vos protections comme on teste un détecteur de fumée : mieux vaut découvrir qu’elles marchent avant l’incendie, pas pendant.
Mots de passe & 2FA
- Installer un gestionnaire de mots de passe
Votre cerveau ne peut pas retenir 80 mots de passe uniques, donc il triche : il réutilise. Le gestionnaire génère et stocke des mots de passe forts et uniques dans un coffre-fort chiffré, protégé par un seul mot de passe maître.
Installer, définir un mot de passe maître long, importer les comptes existants, activer l’extension navigateur.
- Créer un mot de passe maître long (14 caractères minimum)
Plus un mot de passe est long, plus il est difficile à casser. Visez une phrase de passe mémorisable qui mélange majuscules, minuscules, chiffres et symboles : l’entropie fait tout le travail.
- Bannir les mots du dictionnaire, infos perso et séquences évidentes
« 123456 », « azerty », votre date de naissance ou le nom du chien sont testés en premier : c’est une clé sous le paillasson. Ces combinaisons tombent en quelques secondes.
- Un mot de passe unique par compte, jamais de réutilisation
Réutiliser, c’est une seule clé pour toutes les portes. Une fuite sur un site quelconque, et les pirates testent vos identifiants partout ailleurs : c’est la compromission en chaîne.
- Partager un mot de passe uniquement via le gestionnaire, puis le changer
Si un partage est indispensable, le faire via la fonction de partage chiffré du gestionnaire, jamais par SMS ou e-mail. Changez le mot de passe une fois l’accès terminé pour limiter le risque résiduel.
- Choisir un gestionnaire réputé, audité et à jour
Tous les gestionnaires ne se valent pas : c’est comme choisir une banque de confiance. Privilégiez l’open source, audité, régulièrement mis à jour.
- Activer la double authentification sur le gestionnaire lui-même
Le coffre-fort contient tout : mettez-y une double serrure. Même si le mot de passe maître fuit, l’accès reste bloqué sans le second facteur.
- Sécuriser le mot de passe maître et prévoir sa récupération
Si vous oubliez le mot de passe maître, récupérer les autres devient quasi impossible. Notez-le en lieu sûr (coffre-fort physique) ou choisissez une phrase mémorisable, et activez les options de récupération.
- Activer les alertes de compromission du gestionnaire
C’est un détecteur de fumée pour vos comptes : être prévenu vite qu’un mot de passe est apparu dans une fuite permet de le changer avant qu’on n’en profite.
- Ne pas stocker ses mots de passe dans le navigateur
Un accès physique, une synchro compromise ou un simple malware récupèrent facilement les mots de passe enregistrés dans le navigateur. Désactivez la fonction et préférez le gestionnaire.
- Vérifier si vos comptes ont déjà fuité, et s’abonner aux alertes
Une fuite ne meurt jamais : vos identifiants de 2014 circulent encore. Savoir lesquels sont brûlés vous dit exactement quels mots de passe changer en priorité.
Passez par haveibeenpwned.com, entrez votre e-mail, activez les notifications.
- Inventorier vos comptes critiques et les blinder en priorité
Banques, e-mails principaux, services sensibles : listez-les et donnez-leur des mots de passe longs, complexes et uniques. On ne protège pas ce qu’on n’a pas cartographié.
- Éviter les machines publiques pour les comptes sensibles
Sur un ordinateur partagé, vous ne pouvez jamais être certain de l’absence de malware ou de keylogger. Si vous devez l’utiliser : session privée, jamais d’enregistrement de mot de passe, déconnexion complète en partant.
- Traiter les questions de sécurité comme des mots de passe
Votre date de naissance, le nom de jeune fille de votre mère ou votre ville natale se trouvent sur vos réseaux sociaux. Inventez des réponses fictives cohérentes (un persona) et stockez-les dans le gestionnaire.
- Activer la 2FA sur l’email, la banque et les réseaux sociaux d’abord
L’email est le passe-partout de votre vie numérique : qui le contrôle réinitialise tout le reste. La double authentification transforme un mot de passe volé en clé inutilisable, puis étendez-la à tous vos comptes.
- Préférer une application d’authentification au code par SMS
Le détournement de numéro (SIM swap) fait du SMS la méthode 2FA la moins sûre. Une application génère des codes qui expirent en 30 secondes, hors de portée de ce détournement. N’utilisez le SMS que si rien d’autre n’est disponible.
- Conserver les codes de secours 2FA en lieu sûr
Ces codes sont votre seule issue si vous perdez votre second facteur. Gardez une copie chiffrée dans le gestionnaire et une copie physique dans un tiroir verrouillé, et régénérez-les après tout changement de méthode.
- Utiliser une clé de sécurité physique sur les comptes critiques
Contre le phishing ciblé, le SMS ne suffit plus et l’application peut se faire piéger. Une clé physique exige une présence réelle : elle ne se laisse pas convaincre par une fausse page de connexion.
- Ne pas faire de la biométrie votre facteur principal
On peut changer un mot de passe, pas son visage ou son empreinte. Gardez la biométrie pour déverrouiller le téléphone au quotidien, mais ne vous reposez pas dessus comme unique rempart des comptes sensibles.
- Ne pas héberger la 2FA dans le gestionnaire, diversifier ses méthodes
Mettre mots de passe et 2FA au même endroit crée un point de défaillance unique : qui entre a tout. Répartissez (clés physiques pour certains comptes, application pour d’autres) et gardez des méthodes de secours bien protégées.
Navigation Web
- Choisir un navigateur qui respecte votre vie privée
Votre navigateur, c'est la fenêtre par laquelle vous voyez tout Internet, et par laquelle Internet vous observe. Firefox ou Brave placent la confidentialité au premier plan, là où Chrome, Edge et Safari collectent d'abord vos données.
Installez Firefox ou Brave, définissez-le comme navigateur par défaut, importez vos favoris et vos comptes.
- Remplacer Google par un moteur de recherche privé
Vos recherches sont le journal intime que vous ne saviez pas tenir, et Google le lit pour dresser votre profil. DuckDuckGo ou Qwant renvoient de bons résultats sans conserver votre historique ni vous pister.
Dans les réglages du navigateur, définissez DuckDuckGo ou Qwant comme moteur de recherche par défaut.
- Installer uBlock Origin pour bloquer pubs et traceurs
Les publicités ne sont pas qu'envahissantes : elles transportent des cookies et des traceurs qui revendent vos données. uBlock Origin les bloque, allège les pages et accélère votre navigation. Ne me croyez pas sur parole, installez-le et voyez la différence.
- Vérifier chaque extension avant de l'installer
Une extension mal codée ou malveillante peut voler vos identifiants, injecter des pubs ou ralentir votre navigateur. Avant d'installer, vérifiez le développeur, lisez les avis et regardez les permissions demandées : une extension qui en réclame trop cache souvent quelque chose.
- Retirer les extensions que vous n'utilisez plus
Chaque extension installée est une porte de plus sur votre navigateur, y compris celles que vous avez oubliées. Faites le ménage régulièrement : désinstallez tout ce qui ne vous sert plus, vous réduisez d'autant la surface d'attaque.
- Maintenir votre navigateur à jour automatiquement
Il ne se passe pas un jour sans qu'une nouvelle faille soit trouvée sur les navigateurs les plus utilisés. Les correctifs arrivent vite, encore faut-il les installer : activez les mises à jour automatiques et ne les reportez jamais.
- Utiliser le mode privé sur un ordinateur partagé
Le mode incognito n'est ni une bulle d'invisibilité ni un effaceur de traces : votre employeur, votre fournisseur d'accès et les sites vous voient toujours. Son vrai intérêt : sur une machine partagée ou publique, il n'enregistre ni historique, ni cookies, ni mots de passe pour le prochain utilisateur.
- Cloisonner vos comptes avec les conteneurs multi-comptes
Si vous êtes sous Firefox, l'add-on Multi-Account Containers sépare votre navigation en onglets colorés étanches : perso, boulot, banque, réseaux sociaux. Chaque univers reste dans sa bulle, ce qui coupe le suivi d'un site à l'autre et limite votre empreinte.
- Mesurer l'empreinte unique de votre navigateur
Même sans cookies, votre navigateur livre assez d'informations (polices, résolution, version, extensions) pour vous identifier de façon quasi unique. Testez la vôtre sur amiunique.org, développé par des étudiants de Lille et l'INRIA : c'est la prise de conscience qui manque à la plupart des gens.
- Bloquer les cookies tiers dans votre navigateur
Les cookies tiers sont posés par des domaines que vous ne visitez même pas, pour vous suivre de site en site et bâtir un profil de vos habitudes. Bloquez-les dans la section « Vie privée et sécurité » : vous coupez le pistage publicitaire sans casser les sites.
- Activer l'option « Do Not Track »
Cette option demande aux sites de ne pas vous suivre. Elle coûte un clic, alors autant l'activer, mais gardez la tête froide : rien n'oblige les sites à la respecter, donc son effet reste limité. C'est un signal, pas un rempart.
- Ajouter Privacy Badger contre les traceurs invisibles
Privacy Badger apprend tout seul à repérer et bloquer les traceurs qui vous suivent sans votre consentement, ceux que les réglages classiques laissent passer. Installé en complément d'uBlock Origin, il muscle votre défense contre le pistage.
- Survoler un lien avant de cliquer pour voir sa vraie destination
Un lien de redirection peut cacher une page de phishing derrière une adresse d'apparence légitime, et parfois un simple clic suffit à infecter l'appareil. Survolez le lien pour lire l'URL réelle en bas du navigateur, méfiez-vous des raccourcisseurs comme Bitly, et vérifiez au moindre doute.
Survolez sans cliquer et lisez l'URL affichée en bas. Pour un lien raccourci, collez-le dans CheckShortURL ou URLVoid avant d'ouvrir.
- Activer le bloqueur de pop-up
Certaines pop-up imitent un message de votre système pour vous pousser à cliquer ou à télécharger un logiciel piégé. Activez le bloqueur intégré, et si une fenêtre passe quand même, fermez-la par la croix ou avec Alt+F4 (Windows) ou Cmd+W (Mac), jamais par un bouton à l'intérieur.
- Couper les notifications Web
Des sites peu scrupuleux ont détourné les notifications pour vous bombarder d'alertes et de fausses infos. Désactivez l'autorisation d'en demander dans les paramètres de site, révoquez celles déjà accordées, et arrêtez de cliquer « Oui » par réflexe juste pour faire disparaître la fenêtre.
- Désactiver le téléchargement automatique de fichiers
Ça paraît basique, et ça l'est : bloquez le téléchargement automatique pour qu'aucun fichier ne se pose sur votre disque sans votre accord. Cette petite étape en plus vous laisse vérifier ce que vous récupérez avant qu'il n'arrive.
- Désactiver la géolocalisation du navigateur
La géolocalisation dit aux sites où vous êtes, à l'instant près, et révèle vos habitudes et vos déplacements. Coupez-la par défaut dans les réglages et ne l'activez à la main que pour un service qui en a vraiment besoin, comme un itinéraire.
- Bloquer l'accès à la caméra et au micro par défaut
Caméra et micro peuvent servir à des sites ou des applications pour vous espionner à votre insu. Refusez-en l'accès par défaut dans le navigateur, et ne l'accordez qu'au coup par coup, pour un appel vidéo que vous avez lancé vous-même. Réfléchissez à deux fois avant de dire oui.
E-mails
- Choisir un fournisseur d’e-mail chiffré et respectueux de la vie privée
Vos e-mails contiennent vos relevés, vos documents et vos mots de passe oubliés : chez un fournisseur classique, tout cela est lisible et monétisable. Un service chiffré de bout en bout garantit que seuls vous et le destinataire pouvez lire vos messages.
Ouvrez une boîte chez un fournisseur chiffré, puis migrez d’abord vos comptes sensibles : banque, santé, administration.
- Protéger sa boîte avec un mot de passe unique de 16 caractères minimum
Votre e-mail est le passe-partout de toute votre vie numérique : qui l’ouvre réinitialise tout le reste. Générez un mot de passe complexe, unique, d’au moins 16 caractères, et rangez-le dans votre gestionnaire, jamais dans une note ou un fichier.
- Activer la double authentification sur sa boîte e-mail
Même si votre mot de passe fuite, la double authentification ajoute une seconde serrure qui bloque l’intrus à la porte. Activez-la dans les paramètres de sécurité, avec une application plutôt qu’un SMS, et gardez une copie physique des codes de secours.
- Cloisonner sa vie numérique avec plusieurs adresses e-mail
Une seule adresse pour tout, c’est un seul point de rupture : la boutique en ligne qui fuite expose aussi votre banque. En séparant le professionnel, le personnel, les achats et les newsletters, vous contenez chaque incident à un seul compartiment.
Créez au moins une adresse personnelle, une professionnelle, et une dédiée aux inscriptions, achats et newsletters.
- Réserver une adresse e-mail uniquement à la récupération de comptes
Une adresse discrète, utilisée presque jamais et connue de personne, devient une porte de secours qu’un attaquant ne pense même pas à viser. Gardez-la hors de vos échanges quotidiens pour qu’elle reste vraiment propre.
- Ne jamais exposer publiquement son adresse e-mail principale
On estime que 94 % des malwares arrivent par e-mail, et ils commencent par récolter votre adresse partout où elle traîne. Réservez la vraie à vos contacts de confiance, et donnez une adresse secondaire pour chaque inscription en ligne.
- Vérifier régulièrement l’activité récente et les connexions de son compte
Quand un pirate entre, son premier réflexe est de s’installer durablement et discrètement, comme un pied glissé dans l’entrebâillement de la porte. Parcourir l’activité récente et le dossier des messages envoyés vous laisse repérer une connexion inhabituelle avant qu’elle ne devienne un vrai problème.
- Révoquer les accès des applications tierces à sa boîte e-mail
Chaque application à qui vous avez un jour autorisé « lire vos e-mails » ou « envoyer en votre nom » reste une clé en circulation, même celle que vous n’utilisez plus. Faites le ménage dans les paramètres de sécurité et supprimez tout ce que vous ne reconnaissez pas.
- Inspecter les règles et filtres automatiques de sa boîte
Une règle discrète qui transfère ou supprime certains messages est l’astuce préférée d’un attaquant pour lire votre courrier sans que vous le sachiez. Passez en revue vos filtres et supprimez toute automatisation que vous n’avez pas créée vous-même.
- Désactiver le chargement automatique du contenu à distance
Les images cachées dans un e-mail sont souvent des mouchards : elles signalent que vous avez ouvert le message et renseignent l’expéditeur sur votre appareil et votre position. Bloquez le contenu distant par défaut, un bouton reste là pour l’afficher quand vous le décidez.
- Ne jamais partager d’informations sensibles par e-mail
Un e-mail peut être intercepté, et un numéro de carte ou un mot de passe qui y traîne devient une aubaine pour la fraude. Si vous devez envoyer un document sensible, protégez-le par mot de passe et transmettez ce mot de passe par un autre canal.
- Activer un filtre antispam sur sa messagerie
La plupart des spams cachent un lien de phishing, une pièce jointe piégée ou une arnaque : l’antispam les arrête avant votre boîte de réception. Votre fournisseur en propose presque toujours un, il suffit souvent de l’activer.
- Utiliser son propre domaine privé pour ses e-mails
Avec votre propre domaine, comme @votrenom.fr, vous ne dépendez plus d’un seul fournisseur et vous maîtrisez vos réglages de sécurité et vos protections antispam. Comptez un petit coût annuel et un peu de gestion en échange de ce contrôle.
- Lire et composer ses e-mails en mode texte brut
Le texte brut ne transporte ni script, ni image, ni pixel de suivi : rien qui puisse vous pister ou injecter du code. Un peu à l’ancienne, mais vous voyez exactement ce que vous envoyez et recevez, et vous repassez en HTML au cas par cas.
- Utiliser des alias pour tracer et couper les spams
Un alias par service, comme votrenom+facebook@…, vous dit exactement d’où vient un spam et vous laisse le couper sans toucher à votre vraie adresse. Avec un domaine privé ou un service dédié, vous pouvez en générer autant que nécessaire.
- Sauvegarder régulièrement ses e-mails
Une boîte piratée, supprimée ou verrouillée, et des années de documents importants s’envolent d’un coup. Exportez régulièrement vos e-mails vers un disque ou un stockage chiffré pour pouvoir tout récupérer en cas de problème.
- Rester prudent avec les réponses automatiques d’absence
Un message d’absence trop bavard annonce à un inconnu que vous êtes loin de chez vous et pour combien de temps : du pain bénit pour l’ingénierie sociale comme pour le cambriolage. Restez vague (« absent jusqu’au [date] ») et réservez les détails à vos contacts internes.
- Utiliser des adresses e-mail jetables pour les inscriptions temporaires
Pour un téléchargement unique ou un service que vous testez, une adresse éphémère garde votre vraie boîte propre et votre identité à distance. Elle absorbe le spam puis disparaît, sans jamais exposer votre adresse principale.
Réseaux sociaux
- Dresser la liste complète de vos comptes sur les réseaux sociaux
On ne sécurise que ce qu’on a en tête. Commencez par lister tous les réseaux où vous êtes actif, de Facebook à LinkedIn en passant par les comptes oubliés : c’est la carte qui rend tout le reste possible.
Notez chaque plateforme (Facebook, Instagram, LinkedIn, X, TikTok...), y compris les comptes dormants que vous n’utilisez plus.
- Un mot de passe unique et la double authentification sur chaque réseau
L’accès à vos réseaux sociaux mérite la même protection que votre boîte mail. Donnez à chaque compte un mot de passe long et unique généré par votre gestionnaire, puis activez la double authentification et mettez les codes de secours à l’abri.
- Passer en revue les paramètres de confidentialité, régulièrement
Les paramètres de confidentialité sont votre première ligne de défense, et les plateformes les modifient sans vous prévenir. Reprenez la main : décidez qui peut voir vos publications, vos photos et qui peut vous retrouver, puis refaites le tour tous les quelques mois.
Sur chaque réseau, ouvrez les réglages de confidentialité, restreignez la visibilité des publications et des photos, limitez qui peut vous rechercher.
- Partir du principe que tout ce que vous publiez est public et permanent
Même avec des paramètres privés, une simple capture d’écran suffit à faire circuler votre publication bien au-delà du cercle prévu, et pour toujours. Avant de publier, posez-vous trois questions : serais-je à l’aise si c’était public, est-ce que ça peut être mal interprété, est-ce que ça pourrait m’embarrasser plus tard.
- Ne pas surpartager les détails du quotidien
Des détails qui paraissent anodins, votre lieu de travail, l’école des enfants, votre café habituel, dessinent votre routine pour qui veut en profiter. Soyez sélectif : chaque information publiée est une pièce du puzzle que vous offrez.
- Ne pas annoncer ses vacances en direct
Une photo de vacances postée en temps réel, c’est un panneau « maison vide » à l’attention des cambrioleurs. Attendez d’être rentré pour partager vos souvenirs : le plaisir sera le même, le risque en moins.
- Réserver les publications en temps réel à un cercle restreint
Quand vous partagez sur le moment, tout le monde n’a pas à le voir. Servez-vous des listes d’amis proches pour limiter l’audience, et vérifiez au passage si vos anciennes publications sont visibles de tous ou seulement de vos contacts.
- Vérifier l’authenticité d’un compte avant de le suivre
Les faux comptes pullulent : ils imitent des célébrités, des marques ou même vos amis. Le badge vérifié ne suffit plus, car il s’achète. Cherchez plutôt les vrais signaux : un historique cohérent, des abonnés et des interactions réelles.
- Se méfier des messages d’« amis » qui poussent à agir vite
Un « ami » vous signale une vidéo compromettante de vous, un autre vous réclame de l’argent en urgence, un troisième vous demande de recevoir un code par SMS à sa place : ce sont des comptes piratés ou usurpés. Ne cliquez jamais et ne transmettez aucun code sans vérifier par un autre canal.
- Ignorer les demandes et messages d’inconnus
Avant d’accepter une demande d’ami, regardez le profil : un compte récent, avec peu de photos ou des incohérences, sent l’arnaque. Un diplôme de coiffure à la Sorbonne, ça n’existe pas. Dans le doute, ignorez.
- Ne jamais communiquer d’informations confidentielles sur les réseaux
Avoir des milliers d’abonnés ne veut pas dire que chacun mérite d’accéder à votre vie. Les réseaux sociaux ne sont pas l’endroit pour un numéro de carte, un mot de passe ou l’adresse de vos proches. Si on vous les demande, vérifiez directement auprès de l’organisme par un autre moyen.
- Contrôler les applications tierces connectées à vos comptes
Se connecter à un site avec son compte Facebook ou Google est pratique, mais vous lui ouvrez souvent une mine d’informations. Avant d’accepter, vérifiez que les accès demandés sont cohérents, et faites régulièrement le ménage dans les autorisations que vous ne reconnaissez plus.
Dans les réglages de sécurité, ouvrez la liste des applications autorisées et révoquez celles que vous n’utilisez plus.
- Fuir les quiz et jeux qui pêchent vos données personnelles
« Quel personnage de film êtes-vous ? » : ces quiz amusants collectent votre nom, votre date de naissance, le nom de votre premier animal, et recoupent exactement les questions secrètes de votre banque. Beaucoup exigent aussi l’accès à votre profil, vos photos, parfois vos messages privés. Le fait qu’un proche l’ait partagé ne garantit rien.
- Ne pas publier sa géolocalisation en temps réel
Partager sa position en direct révèle vos habitudes et vos déplacements à qui les observe. Personnellement, je ne poste jamais avant d’avoir quitté l’endroit : tant pis pour la course aux likes. Et rappelez-vous qu’une simple photo en dit souvent plus long que vous ne le pensez.
- Créer un persona pour cloisonner votre vraie identité
Si vous voulez surtout consommer du contenu sans vous exposer, rien ne vous oblige à donner votre vraie identité. Un alias cohérent, avec un faux nom et une fausse date de naissance réutilisés sur vos différents comptes, vous fait passer sous les radars du vol d’identité et du harcèlement. En panne d’inspiration, le site Fake Name Generator est fait pour ça.
- Convenir d’un mot de code familial contre les arnaques par IA
Avec l’IA, un escroc peut imiter la voix de votre enfant qui prétend avoir un téléphone cassé et réclame de l’argent en urgence. La parade est simple : choisissez en famille un mot de code que vous seuls connaissez, un mot banal comme « courgette », et exigez-le au moindre doute avant d’agir.
- Poser une question que seule la vraie personne saurait
En 2024, un cadre de Ferrari a reçu un appel reproduisant la voix de son PDG par deepfake. Il a posé une seule question : « Quel livre m’as-tu recommandé il y a quelques jours ? » L’escroc a raccroché. Face à une demande inattendue et sensible, vérifiez avec un détail que seul votre interlocuteur réel pourrait connaître.
- Vérifier une information avant de la partager
Les algorithmes amplifient ce qui fait réagir, pas ce qui est vrai, et même des sources réputées créent parfois leurs propres fausses nouvelles. Avant de relayer, recoupez avec plusieurs sources et restez « poliment paranoïaque » : partager une fausse information, c’est y ajouter votre crédibilité.
Appareils mobiles
- Verrouiller l’écran de son téléphone
C’est comme verrouiller la porte de votre maison quand vous partez : évident, et pourtant négligé par simple confort ou gain de temps. Le verrouillage de l’écran est votre première ligne de défense contre un accès non autorisé, que ce soit par code, schéma, empreinte ou reconnaissance faciale.
iOS : Réglages > Face ID et code (ou Touch ID et code), définir un code. Android : Paramètres > Sécurité > Verrouillage de l’écran, choisir un code PIN ou un schéma.
- Choisir un code de déverrouillage fort
« 1234 », « 0000 », votre date de naissance ou celle d’un proche sont les premières combinaisons testées. Un ancien Premier ministre avait pris comme code la date de naissance de sa sœur : incroyablement facile à deviner. Visez au moins six chiffres, ou mieux, un code alphanumérique.
iOS : Réglages > Face ID et code > Options de code > Code numérique personnalisé (6 chiffres ou plus) ou Code alphanumérique. Android : Paramètres > Sécurité > Verrouillage de l’écran, choisir un PIN long ou un mot de passe.
- Régler le verrouillage automatique sur un délai court
Le verrouillage automatique est une serrure de sécurité qui se déclenche toute seule quand vous oubliez de fermer la porte. Réglé sur un délai court, il ferme la faille des quelques minutes où le téléphone traîne déverrouillé sur une table, hors de votre vue.
iOS : Réglages > Affichage et luminosité > Verrouillage automatique > 30 secondes. Android : réglez le délai de verrouillage dans Paramètres > Sécurité > Verrouillage de l’écran (réglages) > « Verrouiller après extinction de l’écran » sur le délai le plus court ; réglez aussi Affichage > Délai de mise en veille de l’écran sur une valeur courte.
- Activer le chiffrement de l’appareil
Le chiffrement est un bouclier numérique. Sans lui, si votre téléphone tombe entre de mauvaises mains, toutes vos données (mots de passe, photos, messages) sont lisibles. Avec lui, ce n’est plus qu’un tas d’octets inexploitables sans votre code.
iOS : le chiffrement s’active automatiquement dès que vous définissez un code d’accès, rien de plus à faire. Android : Paramètres > Sécurité (ou Sécurité et confidentialité) et vérifier que le chiffrement est actif ; il l’est par défaut sur les modèles récents.
- Supprimer les applications inutilisées
Chaque application est une porte d’entrée potentielle. Plus vous en avez, plus votre surface d’attaque est grande : une appli oubliée peut traîner une faille non corrigée ou des permissions dont vous ne vous souvenez plus. Faites le tri, en prime vous récupérez du stockage.
iOS : appui long sur l’icône > Supprimer l’app. Android : appui long sur l’icône > Désinstaller. Passez vos applis en revue une fois par mois.
- N’accorder que les permissions réellement nécessaires
Une appli de navigation a besoin de votre position ; une appli de lampe de poche n’a aucune raison de réclamer vos contacts ou votre micro. Demandez-vous toujours pourquoi une permission est demandée, et n’accordez que ce qui est réellement nécessaire au fonctionnement.
À chaque installation, refusez les permissions non justifiées ; vous pourrez toujours les accorder plus tard si une fonction précise en a vraiment besoin.
- Auditer et révoquer régulièrement les permissions accordées
Avec le temps, on oublie les permissions accordées pour un usage ponctuel. Un audit régulier, c’est faire le tour des clés que vous avez distribuées : vous seriez surpris du nombre d’applis qui accèdent encore à des données dont elles n’ont plus besoin.
iOS : Réglages > Confidentialité et sécurité, passer en revue chaque catégorie (localisation, micro, caméra, contacts). Android : Paramètres > Confidentialité > Gestionnaire d’autorisations, révoquer ce qui n’est pas justifié.
- Installer des applications uniquement depuis les stores officiels
S’en tenir à l’App Store et à Google Play élimine l’écrasante majorité des applis piégées. Officiel ne rime pas avec 100 % sûr pour autant : en 2019, le malware « Joker » s’est glissé dans plus de vingt applis Google Play pour abonner ses victimes à des services payants. Vérifiez les avis, les permissions et la date de mise à jour avant d’installer.
Installer uniquement depuis l’App Store (iOS) ou Google Play (Android). Avant d’installer : lire les avis, examiner les permissions demandées, vérifier la date de dernière mise à jour. Ne jamais passer par un site tiers ou un fichier APK inconnu.
- Se protéger du juice jacking sur les chargeurs publics
Une borne de recharge publique, dans un aéroport, un hôtel ou un café, peut être piégée : c’est le juice jacking. Le port USB ne fournit pas que du courant, il ouvre aussi une connexion de données qui peut servir à installer un malware ou à aspirer vos fichiers, e-mails et infos bancaires.
Branchez votre propre chargeur sur une prise murale plutôt que sur un port USB public. Emportez une batterie externe. En dépannage, utilisez un protecteur de données USB (« condom USB ») qui bloque les broches de transfert. Éteignez l’appareil avant de le brancher sur une borne inconnue.
- S’inscrire sur les listes anti-démarchage
Les appels de démarchage finissent par empoisonner la journée. En France, inscrivez-vous sur Bloctel pour empêcher les entreprises de vous démarcher ; en Belgique, il existe la liste DNCM (Do Not Call Me). Renseignez-vous aussi auprès de votre opérateur : certains, comme Free, bloquent gratuitement les numéros de centres d’appels.
France : inscription sur bloctel.gouv.fr. Belgique : liste DNCM (dncm.be). Vérifiez également les options de blocage gratuites proposées par votre opérateur.
- Désactiver les publicités personnalisées
Les publicités personnalisées semblent pratiques, mais elles carburent à la collecte de vos données et de votre activité en ligne. Couper la personnalisation, c’est reprendre un peu de terrain sur le profilage, sans rien perdre d’utile.
iOS : Réglages > Confidentialité et sécurité > Publicité Apple > désactiver « Publicité personnalisée ». Android : Paramètres > Google > Annonces > « Désactiver la personnalisation des annonces ». Pensez aussi à couper ces options sur Facebook et vos autres comptes.
- Sauvegarder automatiquement son appareil
Une sauvegarde, c’est un plan B solide : téléphone perdu, volé ou cassé, vous restaurez tout sur un nouvel appareil sans perdre un fichier. C’est comme avoir un double de toutes les clés de votre maison : en perdre une ne vous laisse plus dehors. Automatisez-la pour ne jamais avoir à y penser.
iOS : Réglages > [votre nom] > iCloud > Sauvegarde iCloud > activer. Android : Paramètres > Google > Sauvegarde > activer. Prévoyez une sauvegarde complète par semaine, et une avant tout déplacement important. Choisissez un service digne de confiance.
- Activer l’effacement automatique après trop d’échecs
Contre une attaque par force brute qui essaie des milliers de codes, l’effacement automatique après dix échecs est un piège à loups : passé ce seuil, l’appareil se vide de lui-même. Condition impérative : sauvegarder régulièrement, sinon un simple oubli de code vous coûte tout.
iOS : Réglages > Face ID et code (ou Touch ID et code) > activer « Effacer les données » après 10 tentatives échouées. Android (ex. Samsung) : Paramètres > Sécurité > Paramètres de verrouillage sécurisé > « Réinitialisation automatique des données ».
- Utiliser des outils d’analyse de son smartphone
Un outil d’analyse comme System Status ou Network Analyzer, c’est un médecin pour votre téléphone : il surveille le processeur, la mémoire, la batterie, le disque et le réseau, scanne les appareils connectés à votre réseau, et repère les anomalies avant qu’elles ne deviennent des ennuis. Ça vous rend proactif plutôt que réactif.
iOS : installer un outil comme System Status ou Network Analyzer pour surveiller CPU, mémoire, batterie, réseau. Android : des équivalents existent sur le Play Store. Utilisez-les régulièrement pour repérer les comportements inhabituels.
- Réduire l’activité de l’appareil en veille
Même en veille, votre appareil continue de travailler en arrière-plan et, potentiellement, d’exposer des données. Moins de notifications, c’est moins de réveils ; couper le Wi-Fi, le Bluetooth et les données mobiles quand ils ne servent pas réduit d’autant l’activité, et le mode économie d’énergie fait le reste.
Limitez les notifications aux seules applis importantes. Coupez Wi-Fi, Bluetooth et données mobiles quand ils ne servent pas. Empêchez les applis non essentielles de tourner en arrière-plan (iOS : Réglages > Général > Actualisation en arrière-plan ; Android : Paramètres > Applications > Batterie). Activez le mode économie d’énergie.
- Ne pas utiliser de claviers tiers
Un clavier tiers voit tout ce que vous tapez : mots de passe, coordonnées bancaires, messages intimes. Même une application aussi populaire que TikTok a été mise en cause pour de l’enregistrement de frappe. Ma position est claire : n’utilisez pas ce type de clavier, restez sur le clavier d’origine.
iOS : Réglages > Général > Clavier > Claviers, supprimer tout clavier tiers et garder le clavier natif. Android : Paramètres > Système > Langues et saisie > Clavier à l’écran, conserver le clavier d’origine (Gboard, Samsung) et désinstaller les claviers tiers.
- Redémarrer son appareil régulièrement
Redémarrer efface les données temporaires, ferme les applis qui tournent en douce, et surtout casse la persistance de nombreuses attaques à distance qui ont besoin que le téléphone reste allumé pour garder le contrôle. C’est un geste simple. Moi, j’ai un rappel à 4 h 55 chaque matin, avant d’attaquer la journée.
Programmez un rappel quotidien (par exemple tôt le matin) pour éteindre puis rallumer complètement le téléphone. Fermez au passage toutes les applications ouvertes.
- Garder son numéro de téléphone privé
Votre numéro est une porte d’entrée vers votre vie privée, surtout s’il sert à l’authentification à deux facteurs. Ne le publiez pas sur les réseaux sociaux ni sur un CV en ligne : le scraping de données est bien réel, et ces informations finissent par être utilisées à mauvais escient.
Retirez votre numéro des profils publics, réseaux sociaux et CV en ligne. Vérifiez les paramètres de confidentialité qui exposent votre numéro à des inconnus.
- Utiliser un numéro secondaire pour les inscriptions
Pourquoi Deezer ou Spotify auraient-ils besoin de votre numéro de téléphone ? Le plus souvent, c’est pour le profilage et la revente de données. Pour les inscriptions et les services dont vous vous méfiez, utilisez un numéro secondaire ou jetable, que de nombreux opérateurs proposent à coût réduit voire gratuitement. Protéger votre numéro, c’est protéger votre vie privée.
Demandez un second numéro ou un numéro jetable à votre opérateur (souvent gratuit ou à faible coût) et réservez-le aux inscriptions en ligne et aux services non essentiels.
Ordinateurs
- Protéger la session par un mot de passe fort
Le mot de passe de session, c’est la clé de votre porte d’entrée : il empêche toute personne non autorisée d’accéder à vos fichiers, vos applications et vos informations quand vous n’êtes pas là. Une clé faible comme « 1234 » se force en quelques secondes, alors qu’une combinaison longue de majuscules, minuscules, chiffres et symboles rend la tâche bien plus difficile aux intrus.
Windows : Paramètres > Comptes > Options de connexion pour changer le mot de passe. Mac : Réglages Système > Touch ID et mot de passe (ou Utilisateurs et groupes) pour définir un mot de passe fort.
- Activer les mises à jour automatiques du système et des applications
Garder votre système à jour est l’un des gestes les plus simples et les plus efficaces pour vous protéger. Chaque mise à jour corrige des failles de sécurité : ignorer ces correctifs, c’est laisser la porte de votre maison ouverte aux attaques. Activez l’installation automatique, et vérifiez tout de même de temps en temps qu’aucune mise à jour n’est en attente.
Windows : Paramètres > Windows Update, activez les mises à jour automatiques. Mac : Réglages Système > Général > Mise à jour de logiciels, activez les mises à jour automatiques. Vérifiez manuellement une fois par mois.
- Chiffrer le disque de votre ordinateur (BitLocker ou FileVault)
Le chiffrement transforme vos données en un format illisible pour quiconque n’a pas la clé de déchiffrement. Même si un voleur met la main sur votre appareil, il ne pourra pas lire vos fichiers : c’est une couche de protection qui suit votre machine partout. Windows propose BitLocker, macOS propose FileVault, tous deux inclus et guidés.
Windows : Paramètres > Confidentialité et sécurité > Chiffrement de l’appareil (ou Chiffrement de lecteur BitLocker). Mac : Réglages Système > Confidentialité et sécurité > FileVault, cliquez sur Activer. Conservez la clé de récupération en lieu sûr, en dehors de l’appareil (par exemple dans votre gestionnaire de mots de passe).
- Sauvegarder régulièrement vos données (local et cloud)
Les pannes matérielles, les erreurs humaines et les cyberattaques peuvent entraîner des pertes de données irréversibles. Une sauvegarde régulière vous garantit de toujours pouvoir restaurer vos informations. Combinez une copie locale (disque dur externe rangé en lieu sûr) et une copie dans le cloud pour une redondance maximale, planifiez les sauvegardes automatiquement, et testez de temps en temps une restauration pour vérifier qu’elle fonctionne vraiment.
Utilisez un disque dur externe pour une copie locale, et un cloud chiffré pour une copie distante. Configurez des sauvegardes automatiques (quotidiennes ou hebdomadaires selon vos usages). Restaurez quelques fichiers pour confirmer que la sauvegarde est complète.
- Désactiver l’assistant vocal (Cortana ou Siri)
Les assistants vocaux sont à l’écoute permanente d’un mot-clé pour s’activer : ils peuvent capter des conversations sensibles et des informations personnelles. Ils peuvent aussi être détournés par des cybercriminels pour accéder à vos données. Si vous ne vous en servez pas, coupez-les.
Windows : Cortana a été retiré de Windows fin 2023 ; vérifiez qu’aucun assistant à l’écoute n’est actif et coupez l’accès micro inutile dans Paramètres > Confidentialité et sécurité > Microphone. Mac (Siri) : menu Apple > Réglages Système > Siri et Spotlight, désactivez « Demander à Siri ».
- Activer le verrouillage automatique de l’écran
Quand votre ordinateur reste inactif un moment, le verrouillage automatique reprend la main et exige votre mot de passe : personne ne peut fouiller vos données si vous vous éloignez sans y penser. Le bon compromis entre sécurité et confort se situe entre 3 et 5 minutes.
Windows : Paramètres > Personnalisation > Écran de verrouillage, définissez le délai, et activez « À la reprise, demander un mot de passe ». Mac : Réglages Système > Écran verrouillé, exigez le mot de passe après la mise en veille ou l’économiseur d’écran.
- Se méfier des périphériques USB inconnus
Une clé USB peut contenir des virus ou des logiciels espions qui infectent votre ordinateur dès que vous la branchez. Ne connectez jamais une clé trouvée ou donnée par un inconnu (improbable, mais bien réel), scannez toute clé avec votre antivirus avant de l’ouvrir, désactivez l’exécution automatique, et si vous devez utiliser une clé douteuse, formatez-la d’abord.
Windows : Paramètres > Périphériques > Périphériques et lecteurs, désactivez la lecture automatique pour tous les supports. Mac : pas d’exécution automatique, mais n’ouvrez jamais un fichier d’une clé sans l’avoir vérifié. Dans le doute, formatez la clé avant usage (attention, certaines menaces survivent au formatage : mieux vaut éviter les clés suspectes).
- Revoir les applications installées et leurs permissions
Au fil du temps, vous accumulez des applications qui deviennent obsolètes ou trop gourmandes en permissions. Une application non mise à jour peut contenir des failles, et des permissions excessives donnent accès à votre localisation, vos contacts ou vos fichiers. Faites le ménage régulièrement : désinstallez ce que vous n’utilisez plus, revoyez les permissions du reste, et mettez à jour ce qui reste.
Dressez la liste de toutes les applications installées, désinstallez les inutiles, puis passez en revue les permissions accordées à chaque application restante et ajustez-les.
- Limiter les données de diagnostic envoyées à Microsoft et Apple
Vos applications et votre système collectent souvent des données d’utilisation pour « améliorer leurs services ». Cette collecte va parfois au-delà du nécessaire et grignote votre vie privée. Réglez-la au minimum, côté système comme côté applications.
Windows : Paramètres > Confidentialité > Diagnostics et commentaires, choisissez « Données de diagnostic requises » plutôt que « Données de diagnostic facultatives ». Mac : Réglages Système > Confidentialité et sécurité > Analyses et améliorations, décochez l’envoi de données à Apple. Vérifiez aussi les réglages de chaque application.
- Éviter les méthodes de déverrouillage trop rapides
L’empreinte digitale et la reconnaissance faciale sont pratiques, mais des chercheurs ont montré qu’on peut contourner une empreinte à partir de photos haute résolution de vos doigts, ou tromper certaines reconnaissances faciales 2D (simple webcam) avec une photo ou une vidéo. Les systèmes à capteur de profondeur (Face ID, Windows Hello infrarouge) résistent à cette astuce, mais pour vos appareils les plus sensibles, privilégiez un mot de passe ou un code PIN complexe et unique : moins pratique, mais plus difficile à contourner.
- Éteindre complètement l’ordinateur plutôt que de le mettre en veille
En veille, votre système reste partiellement actif et le chiffrement de vos données peut être temporairement désactivé, ce qui laisse une ouverture aux curieux. En éteignant complètement, vous fermez toutes les sessions, coupez les réseaux et réduisez la surface d’attaque, tout en laissant l’ordinateur installer les mises à jour au redémarrage.
- Désactiver les services de partage inutiles
Le partage de fichiers ou d’imprimantes est pratique, mais mal configuré ou laissé actif sans raison, il ouvre des portes aux cybercriminels, surtout sur un réseau public. Vérifiez régulièrement quels services de partage sont activés et coupez ceux dont vous ne vous servez pas.
Windows : Panneau de configuration ou Paramètres système, section réseau et partage, désactivez les partages inutilisés. Mac : Réglages Système > Général > Partage, désactivez les services que vous n’utilisez pas.
- Séparer le compte administrateur du compte quotidien
Un compte administrateur, c’est le passe-partout de votre système : il peut tout installer, tout modifier, tout lire. Si vous l’utilisez au quotidien et que vous tombez dans un piège, le logiciel malveillant s’installe sans rien demander. Créez un compte standard pour vos activités de tous les jours et gardez le compte administrateur pour les seules tâches qui l’exigent : une attaque devient alors bien moins destructrice.
Windows : Paramètres > Comptes > Famille et autres utilisateurs, créez un compte standard. Mac : Réglages Système > Utilisateurs et groupes, ajoutez un compte sans droits d’administrateur pour l’usage courant.
- Couper le microphone et bloquer la caméra quand vous ne les utilisez pas
Un logiciel malveillant peut activer votre micro à votre insu et écouter tout ce qui se dit autour de l’ordinateur. Pour la caméra, un cache ou un interrupteur suffit ; le micro, plus discret, s’oublie facilement. Coupez-le dans les réglages de confidentialité de votre système quand vous ne l’utilisez pas, et retirez l’accès aux applications qui n’en ont pas besoin.
- Activer le pare-feu du système
Un pare-feu filtre le trafic entrant et sortant pour bloquer les intrus tout en laissant circuler les données légitimes. Sans lui, c’est comme laisser toutes les portes et fenêtres grandes ouvertes. Windows et macOS incluent un pare-feu intégré : activez-le, surtout quand vous êtes connecté à Internet.
Windows : Panneau de configuration > Système et sécurité > Pare-feu Windows Defender, activez-le pour les réseaux privé et public. Mac : menu Apple > Réglages Système > Réseau > Pare-feu, activez-le et ajustez les applications autorisées dans les options.
- Choisir un antivirus payant plutôt qu’un antivirus gratuit
Un antivirus gratuit se limite souvent à une protection de base : il manque la protection contre le phishing, les mises à jour en temps réel et les défenses avancées contre les ransomwares. Pire, certains financent le service en revendant vos données de navigation. Un antivirus payant offre une protection complète, mise à jour quotidiennement : quelques euros par mois pour dormir (presque) sur vos deux oreilles.
- Définir un mot de passe BIOS
La protection de votre ordinateur commence avant même le système d’exploitation. Le BIOS est le programme chargé au démarrage : sans mot de passe BIOS, quelqu’un ayant un accès physique peut modifier les paramètres de démarrage, installer un autre système ou accéder à vos fichiers, même si votre session est sécurisée. Si vous n’êtes pas à l’aise avec cette manipulation, mieux vaut vous faire aider : une mauvaise configuration peut rendre l’ordinateur difficile à démarrer.
Au démarrage, appuyez sur la touche indiquée à l’écran pour entrer dans le BIOS (souvent F2, F10, Suppr ou Échap). Cherchez le menu de sécurité, définissez le mot de passe BIOS, saisissez-le deux fois, puis enregistrez et quittez (souvent F10 ou « Save and Exit »). Redémarrez pour vérifier. Chaque fabricant a ses particularités : au besoin, consultez le site du constructeur.
- Activer le démarrage sécurisé (Secure Boot)
Le démarrage sécurisé vérifie chaque composant avant de l’autoriser à s’exécuter : seuls les logiciels approuvés par le fabricant peuvent démarrer. Il bloque les attaques bas niveau comme les rootkits, qui compromettent le système avant même que l’antivirus prenne le relais. Comme pour le mot de passe BIOS, si vous n’êtes pas à l’aise, faites-vous aider.
Entrez dans le BIOS/UEFI au démarrage (souvent F2, F10, Suppr ou Échap). Cherchez le menu « Boot » ou « Security », trouvez l’option Secure Boot (parfois désactivée par défaut) et activez-la. Enregistrez et quittez (F10 ou « Save and Exit »), puis redémarrez pour vérifier.
- Poser des Canary Tokens pour détecter les intrusions
Un Canary Token est un petit fichier ou une URL piégés : dès que quelqu’un y accède, vous recevez une alerte. Imaginez une mine qui déclenche une alarme. Placés là où personne ne devrait normalement aller (un faux document sensible sur votre disque, une URL secrète), ils vous préviennent immédiatement qu’une intrusion a eu lieu et vous laissent le temps de réagir.
Sur un service comme canarytokens.org, créez un token (fichier, URL, document...). Placez-le dans un endroit où personne ne devrait fouiller. Dès qu’il est ouvert, vous recevez une alerte : agissez vite pour sécuriser votre système.
Réseau domestique & objets connectés
- Choisir un routeur doté de vraies fonctionnalités de sécurité
Le routeur, c’est le cerveau de votre réseau : il connecte tous vos appareils à Internet et gère le trafic entre eux. Si vous pouvez choisir le vôtre, prenez un modèle avec pare-feu intégré et la possibilité de créer un réseau invité. Un bon routeur fait la moitié du travail de sécurité de la maison.
- Câbler en Ethernet les appareils fixes
Le Wi-Fi est pratique, mais une connexion filaire est plus rapide et ne se capte pas depuis la rue. Pour les appareils qui ne bougent pas, PC de bureau, console de jeux, box TV, un câble Ethernet offre un lien plus stable et une surface d’attaque en moins.
- Masquer le SSID de votre réseau Wi-Fi principal
Le SSID, c’est le nom de votre réseau Wi-Fi. Le cacher ne vous rend pas invisible aux hackers expérimentés, mais votre réseau n’apparaît plus dans la liste des réseaux à proximité : une couche de discrétion en plus, idéale pour monsieur et madame Tout le Monde. Il faudra ensuite connaître à la fois le nom et le mot de passe pour se connecter.
Dans l’interface d’administration du routeur (souvent 192.168.1.1), section « Paramètres Wi-Fi », décochez « Diffuser le SSID », enregistrez, puis saisissez le nom du réseau manuellement sur chaque appareil.
- Changer les identifiants d’administration par défaut du routeur
L’interface de votre routeur ou de votre box arrive avec un identifiant et un mot de passe d’usine, souvent « admin » et « admin », que n’importe qui retrouve en trois secondes sur Internet. Qui contrôle cette interface contrôle tout votre réseau : remplacez ces identifiants par un mot de passe long et unique dès l’installation.
Ouvrez l’interface du routeur (adresse type 192.168.1.1 dans le navigateur), connectez-vous avec les identifiants d’usine, puis dans « Sécurité » ou « Paramètres du compte », choisissez un mot de passe fort et stockez-le dans votre gestionnaire.
- Créer un réseau Wi-Fi invité pour les visiteurs
Accueillir des amis ou de la famille ne devrait pas ouvrir vos appareils personnels à tout le monde. Un réseau invité sépare les visiteurs de votre réseau principal : même si le téléphone d’un invité est infecté, le malware ne peut pas atteindre vos ordinateurs et vos données sensibles. La plupart des box récentes le proposent en quelques clics.
- Préférer un routeur personnel à celui du fournisseur d’accès
Les box des fournisseurs d’accès sont pratiques car préconfigurées, mais elles bornent ce que vous pouvez régler. Un routeur personnel vous rend le contrôle total : pare-feu avancé, réseaux invités, contrôle parental plus fin, VPN au niveau du réseau, segmentation. Si vous voulez sécuriser votre maison en profondeur, c’est le point de départ.
- Changer le mot de passe par défaut de chaque objet connecté
Je ne me lasse jamais de cette histoire : un casino haut de gamme s’est fait siphonner sa base de données à cause d’un simple thermomètre connecté d’aquarium, resté accessible depuis Internet sans protection. Chaque objet connecté est une porte d’entrée potentielle. Dès l’installation, remplacez le mot de passe par défaut par un mot de passe unique et fort, noté dans votre gestionnaire.
Rendez-vous sur l’interface d’administration de l’appareil (via son application ou son adresse IP), ouvrez la section « Sécurité » ou « Compte », et remplacez le mot de passe d’usine par un mot de passe unique.
- Renommer vos appareils connectés avec des noms génériques
Par défaut, un appareil s’annonce sur le réseau avec sa marque et son modèle exacts, ce qui souffle à un pirate les vulnérabilités connues à tester. Des noms génériques masquent cette information, et des noms distincts vous aident à repérer d’un coup d’œil un intrus dans la liste de vos appareils.
- Couper micro et caméra des objets connectés quand ils ne servent pas
Micros et caméras rendent nos appareils pratiques et nous rendent vulnérables. Des pirates, mais aussi des applications légitimes, peuvent y accéder pour espionner votre intimité, parfois sans consentement explicite. Privilégiez la coupure physique, interrupteur ou cache objectif : un simple réglage logiciel peut être réactivé à distance sans que vous le sachiez.
- Vérifier quelles données un objet collecte avant de l’acheter
Qui dit objet connecté dit exploitation de vos données. Avant d’acheter, renseignez-vous : quelles informations l’appareil récolte, pourquoi, où elles sont stockées et comment elles sont protégées. Vous ne voudriez pas que toute votre vie privée finisse sur un serveur lointain, dans un pays sans réelle protection des données.
- Lire la politique de confidentialité avant d’accepter
Si ces documents vous paraissent trop complexes, ce n’est pas un hasard : le jargon juridique est là pour que vous cliquiez « Accepter » sans les lire. Deux outils vous aident : collez la politique dans une IA générative pour un résumé clair, et consultez ToS;DR, qui démystifie d’un coup d’œil ce que vous acceptez vraiment.
Copiez-collez la politique dans une IA générative pour une explication concise, ou vérifiez le service sur tosdr.org avant de créer un compte.
- Désactiver le partage de données avec des tiers
Dans les paramètres de confidentialité de chaque application et de chaque appareil, coupez le partage de données avec des tiers pour limiter qui accède à vos informations. Repassez ces réglages en revue régulièrement : une mise à jour réactive souvent en douce des options que vous aviez désactivées.
- Mettre à jour régulièrement les firmwares du routeur et des objets connectés
Le firmware, c’est le cerveau logiciel d’un appareil, et comme tout logiciel il a des failles que les pirates exploitent. Un objet connecté jamais mis à jour devient une porte grande ouverte. Activez les mises à jour automatiques quand c’est possible, et prenez sinon l’habitude de vérifier manuellement après chaque correctif du fabricant.
- Ne pas exposer directement à Internet vos dispositifs critiques
Souvenez-vous du casino : les pirates sont passés par un objet anodin pour atteindre le réseau interne et voler des données sensibles. Gardez hors ligne, ou derrière un réseau isolé, ce qui compte vraiment : système de sécurité domestique, thermostat, équipements médicaux, tout appareil à fonction essentielle. Moins de points d’entrée, moins d’attaques possibles.
- Rester prudent avec les assistants vocaux
Alexa, Google Home ou Siri écoutent en permanence pour capter leur mot d’activation, et enregistrent parfois des bouts de conversation sans que vous en soyez conscient. Coupez le micro quand vous n’en avez pas besoin, et passez régulièrement en revue les paramètres de confidentialité pour contrôler ce qui est stocké et partagé.
- Surveiller les appareils connectés à votre réseau
Un intrus sur votre réseau se repère à un appareil inconnu ou à un trafic anormal. Avec l’application de gestion de votre routeur ou un outil dédié, passez en revue la liste des appareils connectés et configurez des alertes en cas de connexion répétée ou de volume de trafic inhabituel. Vous réagirez avant que l’intrusion ne s’installe.
- Cloisonner votre réseau : un VLAN séparé pour les objets connectés
Imaginez votre maison comme un château. Si tout le monde passe par la même entrée principale, un intrus qui la franchit accède à tout. En créant une entrée séparée pour vos objets connectés (réseau invité ou VLAN) et une autre pour vos ordinateurs et téléphones, vous dressez une barrière : si une caméra ou un thermostat est compromis, vos données personnelles restent hors d’atteinte.
Sur un routeur ou une box récente, activez un réseau invité ou un VLAN dédié, puis basculez-y tous les objets connectés (caméras, thermostats, ampoules). Gardez ordinateurs, smartphones et NAS sur le réseau principal.
Messagerie sécurisée
- Basculer vos conversations sensibles vers une messagerie chiffrée de bout en bout
Par défaut, sur SMS, réseaux sociaux ou e-mail, quelqu’un peut lire par-dessus votre épaule, la plateforme la première. Sur Signal, seuls vous et votre destinataire avez la clé, personne d’autre, pas même l’application. Commencez par y déplacer ce qui est vraiment privé.
Installez Signal, invitez vos proches, et prenez l’habitude d’y basculer dès qu’un sujet devient sensible.
- Comprendre ce que le chiffrement protège, et ce qu’il ne protège pas
Le chiffrement de bout en bout cache le contenu de vos messages, pas le fait que vous parliez. Qui écrit à qui, quand, à quelle fréquence : ces métadonnées restent visibles et racontent déjà énormément. Le chiffrement est indispensable, mais il ne vous rend pas invisible.
- Activer les messages éphémères sur vos échanges sensibles
Un message qui n’existe plus ne peut être ni volé, ni saisi, ni ressorti dans dix ans. Réglez une disparition automatique sur les conversations sensibles : ce qui doit être dit reste dit, ce qui doit s’effacer s’efface, des deux côtés.
Dans Signal, ouvrez la conversation, réglez « Messages éphémères » sur une durée adaptée (un jour, une semaine).
- Vérifier le code de sécurité d’un contact avant les échanges critiques
Le chiffrement suppose que vous parlez à la bonne personne, pas à un imposteur glissé au milieu. Le numéro de sécurité (ou le QR code) confirme que la ligne n’a pas été détournée. Vérifiez-le en personne ou par un autre canal pour les conversations qui comptent vraiment.
Dans Signal, ouvrez le profil du contact, « Vérifier le numéro de sécurité », puis comparez ou scannez le QR code ensemble.
- Verrouiller votre application de messagerie par code ou biométrie
Votre téléphone déverrouillé traîne deux minutes sur une table, et tout devient lisible. Un verrou propre à l’application ajoute une porte : même le téléphone en main, on n’entre pas dans vos conversations sans le code.
Dans les réglages de confidentialité de l’app, activez le verrouillage d’écran et exigez le code ou l’empreinte à l’ouverture.
- Masquer l’aperçu des messages sur l’écran verrouillé
Par défaut, le début de chaque message s’affiche sur l’écran verrouillé : n’importe qui à côté de vous le lit sans même toucher au téléphone. Coupez l’aperçu pour que la notification annonce un message sans en dévoiler le contenu.
Réglages de notifications de l’app (ou du système) : masquez le contenu, gardez seulement « Nouveau message ».
- Ne jamais confier un secret au SMS
Le SMS voyage en clair : votre opérateur le lit, il se stocke, il s’intercepte. C’est une carte postale, pas une lettre cachetée. Codes bancaires, mots de passe, informations sensibles : tout cela mérite un canal chiffré, jamais le SMS.
- Se méfier des messageries qui ne chiffrent pas de bout en bout par défaut
« Chiffré » ne veut pas dire « chiffré de bout en bout ». Telegram, par exemple, ne protège ses discussions cloud que jusqu’à ses serveurs, où il peut les lire : le vrai chiffrement de bout en bout y est une option cachée, jamais activée par défaut. Vérifiez qui détient la clé avant de faire confiance.
- Préférer une messagerie financée par une fondation, pas par la publicité
Quand le service est gratuit et vit de la publicité, votre attention et vos données sont le produit qu’on vend. Une messagerie portée par une fondation à but non lucratif n’a aucun intérêt à vous profiler : son modèle économique est aligné avec votre vie privée, pas contre elle.
- Chiffrer et protéger la sauvegarde de vos messages
Vos messages ont beau être chiffrés en transit, une sauvegarde en clair sur le cloud ou l’ordinateur redevient lisible par qui y accède. Activez une sauvegarde chiffrée, notez soigneusement la phrase de récupération, et ne la rangez pas à côté de la sauvegarde.
Dans Signal, activez les sauvegardes chiffrées et conservez la phrase de restauration dans votre gestionnaire de mots de passe.
- Contrôler régulièrement les appareils liés à votre messagerie
Une messagerie chiffrée peut être branchée sur un ordinateur ou une tablette qui reçoivent tout en copie. Un appareil lié oublié, ou ajouté à votre insu, c’est une oreille permanente dans vos conversations. Passez la liste en revue et retirez tout ce que vous ne reconnaissez pas.
Dans Signal, ouvrez « Appareils liés », vérifiez chaque session, supprimez les inconnues.
- Comprendre l’enjeu de Chat Control : le scan côté client casse le chiffrement
Le chiffrement de bout en bout ne tient que si personne ne lit avant l’envoi. Le scan côté client (client-side scanning) installe exactement cela : un mouchard dans votre téléphone qui inspecte chaque message avant qu’il ne parte. C’est une porte dérobée, et une porte dérobée finit toujours par servir à d’autres que ceux pour qui elle a été ouverte.
VPN & filtrage DNS
- Utiliser un VPN pour chiffrer sa connexion et masquer son IP
Un VPN crée un tunnel chiffré entre votre appareil et Internet : personne sur le trajet ne lit ce qui y passe, et votre adresse IP réelle disparaît derrière celle du serveur. C’est la base pour rendre votre activité illisible à votre fournisseur d’accès, aux annonceurs et aux curieux.
- Ne pas confondre VPN et anonymat, ni s’en servir pour l’illégal
Un VPN masque votre IP et chiffre vos données, mais il ne vous rend pas invisible ni au-dessus des lois. En octobre 2023, les auteurs de fausses alertes à la bombe en France ont été identifiés malgré leur VPN : une enquête finit par remonter la piste.
- Activer le kill-switch pour couper Internet si le VPN lâche
À la moindre microcoupure entre le VPN et le site, votre appareil rebascule sur votre connexion normale et vous redevenez visible de tous, sans même le savoir. Le kill-switch coupe net Internet tant que le tunnel n’est pas rétabli, pour ne jamais fuiter.
- Comparer les fournisseurs avant de choisir son VPN
Tous les VPN ne se valent pas, et un VPN gratuit se paie souvent avec vos données. Prenez le temps de lire les avis, la politique de logs et les audits avant de confier tout votre trafic à quelqu’un.
- Envisager un pack tout-en-un plutôt qu’empiler les applications
Certains fournisseurs regroupent VPN, antivirus et gestionnaire de mots de passe dans une offre cohérente, comme Bitdefender ou Sophos, et certains packs vont jusqu’au filtrage DNS. Le but n’est pas d’empiler des couches pour le plaisir, mais d’avoir une protection cohérente et facile à gérer.
- Mettre en place un filtrage DNS pour bloquer les sites malveillants
Le filtrage DNS agit comme un gardien à l’entrée : il bloque l’accès aux sites malveillants avant même que la page ne se charge, donc avant que le malware ou le phishing n’atteigne votre appareil. C’est une couche qui travaille en amont, sans que vous ayez à y penser.
- Utiliser le filtrage DNS comme contrôle parental
Le fameux contrôle parental n’est rien d’autre qu’un filtrage DNS qui bloque le contenu inapproprié pour les enfants, comme les sites pour adultes ou les jeux d’argent. Un réglage au niveau du DNS couvre tous les appareils de la maison d’un coup.
- Ne pas croire que le filtrage DNS remplace un antivirus
Le filtrage DNS bloque beaucoup de sites dangereux, mais il ne peut pas tout faire et certains passeront entre les mailles. Gardez un antivirus et surtout gardez votre vigilance : aucun filtre n’est parfait.
- Bien choisir son fournisseur de filtrage DNS
Comme pour un VPN, votre fournisseur DNS voit passer toutes vos requêtes, alors choisissez-le avec soin plutôt que d’empiler les briques au hasard. Comparez les options et pensez aux packs qui réunissent DNS, antimalware et le reste pour éviter d’accumuler les applications.
Paiements en ligne
- Renforcer mot de passe et 2FA sur ses comptes de paiement
Vos comptes marchands et bancaires contiennent de quoi vous vider un compte : ce sont les premiers à blinder. Un mot de passe unique et fort, plus la double authentification, et un identifiant volé ne suffit plus à passer commande à votre place.
- Vérifier la réputation et la légitimité d’un site marchand
Avant de sortir votre carte, un réflexe basique qu’on oublie trop souvent : cherchez les avis, les mentions légales et la politique de confidentialité. Un détour de deux minutes sur Google ou Trustpilot flaire la plupart des arnaques avant qu’il ne soit trop tard.
- Vérifier l’URL et repérer les faux sites web
Les escrocs copient des sites légitimes à l’identique, avec une URL qui ne diffère que par un détail subtil : une faute d’orthographe, un caractère suspect, un nom de domaine à rallonge. Lisez l’adresse en entier avant de saisir la moindre information.
- Taper l’URL directement ou passer par ses signets
Plutôt que de cliquer sur un lien reçu par mail ou trouvé au hasard, tapez vous-même l’adresse du site ou utilisez vos favoris pour les sites que vous fréquentez. En cas de doute, appelez la société sur un numéro trouvé sur une source fiable, jamais celui affiché sur le site suspect.
- Se méfier des liens sponsorisés en tête de recherche
Les arnaqueurs achètent des publicités Google pour placer leurs faux sites tout en haut des résultats, là où on clique sans réfléchir. Vérifiez toujours l’URL d’un lien sponsorisé avant de cliquer, et aidez-vous d’une extension de navigateur qui contrôle la sécurité des sites.
- Comparer les prix et se méfier des offres flash
Un prix incroyablement bas n’est pas un cadeau, c’est souvent un appât qui joue sur votre impulsivité. Passez par un comparateur de prix reconnu pour connaître le prix moyen, et prenez le temps de la réflexion face aux offres flash soi-disant limitées.
- Ne jamais envoyer ses infos de paiement par un canal non sécurisé
Aucun commerçant légitime ne vous demandera votre numéro de carte par e-mail, SMS ou message sur les réseaux sociaux : ces canaux s’interceptent trop facilement. Si un hôtel réclame ces informations, demandez-lui quelle méthode sécurisée il propose à la place.
- Ne JAMAIS enregistrer les détails de sa carte sur un site
Enregistrer votre carte pour gagner trois secondes, c’est laisser ses détails dans la base de données du site, et aucune base n’est inviolable. Le jour où ce marchand se fait pirater, votre carte part avec le reste : ressaisissez vos informations à chaque achat.
- Utiliser un compte bancaire secondaire dédié aux achats en ligne
Réservez un compte séparé à vos achats en ligne et n’y gardez que le montant nécessaire à vos dépenses prévues. En cas de fraude, seul ce compte tampon est exposé et vos économies principales restent intactes.
- Utiliser une carte bancaire virtuelle pour ses paiements en ligne
Une carte virtuelle génère un numéro temporaire, souvent valable pour une seule transaction, avec un plafond que vous fixez. Volé, ce numéro ne sert à rien, et beaucoup de banques ou d’applications le proposent directement depuis le smartphone.
Wi-Fi publics
- Se méfier des Wi-Fi ouverts sans mot de passe
Un réseau ouvert ne demande aucun mot de passe et ne chiffre rien : c’est le plus pratique, et de loin le plus vulnérable. Considérez chaque hotspot gratuit comme un lieu public bruyant où n’importe qui peut tendre l’oreille.
- Activer un VPN dès qu’on se connecte à un Wi-Fi public
Sur un réseau public, vos données peuvent être exposées à des tiers, qu’il s’agisse de cybercriminels, d’administrateurs réseau ou d’autres utilisateurs. Le VPN chiffre tout le trafic qui sort de votre appareil, ce qui le rend illisible pour quiconque tente de l’intercepter.
- Éviter les sites sensibles sur un réseau public
Sur un Wi-Fi public, surtout sans mot de passe, un tiers à portée peut écouter et intercepter ce que vous envoyez. Utiliser ces réseaux pour votre banque ou pour saisir un numéro de carte, c’est crier vos secrets dans un hall bondé : attendez d’être sur une connexion de confiance.
- Désactiver le partage de fichiers et de périphériques
Le partage de fichiers laisse d’autres appareils du réseau accéder aux vôtres : pratique chez vous, dangereux sur un réseau public. Laissé activé, c’est une porte ouverte par laquelle un inconnu peut lire vos fichiers, les modifier ou y déposer un malware.
- Se déconnecter et oublier le réseau une fois terminé
Tant que votre appareil reste connecté à un Wi-Fi public, il reste vulnérable, même si vous ne naviguez pas activement. Déconnectez-vous dès que vous avez fini et activez « Oublier ce réseau » pour ne pas vous y reconnecter par inadvertance.
- Désactiver la connexion automatique aux réseaux Wi-Fi
Si la connexion automatique est active, votre téléphone se raccroche tout seul à des réseaux non sécurisés dès qu’il les croise, sans vous demander votre avis. Coupez cette option pour choisir consciemment chaque réseau auquel vous vous connectez.
- Préférer le partage de connexion 4G/5G au Wi-Fi public
Partager la connexion de données de votre smartphone est souvent plus sûr que n’importe quel Wi-Fi public, car elle passe par le réseau chiffré de votre opérateur. Quand vous avez le choix, le partage de connexion évite tout simplement le problème.
- Protéger son point d’accès mobile par un mot de passe fort
Votre partage de connexion est une porte d’entrée sur votre appareil et sur votre forfait : sans mot de passe solide, n’importe qui à portée peut s’y greffer. Choisissez un mot de passe fort pour votre hotspot afin d’empêcher tout accès non autorisé.
- Surveiller sa consommation et couper le partage après usage
Le partage de connexion puise dans votre forfait de données, alors gardez un œil sur la consommation pour éviter les frais supplémentaires. Coupez-le dès que vous n’en avez plus besoin : vous économisez la batterie et vous réduisez la surface d’attaque.
Ingénierie sociale
- Toujours vérifier l’adresse de l’expéditeur d’un e-mail
La vigilance est votre première ligne de défense. Un « support@mabanque123.fr » à la place de « support@mabanque.fr » suffit à trahir l’arnaque, à condition de prendre trois secondes pour lire l’adresse complète.
- Ne jamais répondre à une demande sensible sans passer par un canal officiel
Un e-mail qui vous presse de « mettre à jour vos informations sous 24 heures » joue sur la peur pour court-circuiter votre réflexion. Ne répondez pas : contactez l’organisme vous-même, par son numéro officiel ou son site connu, jamais par les coordonnées fournies dans le message.
- Ne pas cliquer sur les liens ni ouvrir les pièces jointes d’un message douteux
Les liens et les pièces jointes sont les mécanismes les plus courants pour déployer un malware ou vous rediriger vers une fausse page. Dans le doute, on ne clique pas : on vérifie d’abord par un autre moyen.
- Ajouter un titre-piège à son nom sur les sites non essentiels
Inscrivez-vous sous « Dr » ou « Lord » Untel sur les boutiques et forums secondaires. Le jour où un e-mail vous adresse par ce faux titre, vous savez immédiatement d’où vient la fuite et qu’il s’agit très probablement d’une tentative de phishing.
À l’inscription, ajoutez un titre devant votre nom, notez ce choix dans un endroit sûr, et gardez-le cohérent d’un site à l’autre.
- Se méfier de toute notification non sollicitée
Les hackers exploitent la distraction et l’émotion : une notification qui vous fait réagir vivement est très souvent un piège. Qu’elle arrive par e-mail, SMS ou pop-up, un seul mot d’ordre, soyez poliment paranoïaque.
- Masquer ses données personnelles avant de partager un document
Avant d’envoyer un fichier, prenez le temps de vérifier ce qu’il contient vraiment : adresse, numéro de téléphone, e-mail. Word, Google Docs ou Acrobat permettent de masquer ou supprimer ces informations en quelques clics, et vous évitent de diffuser plus que prévu.
- Ne pas prendre le HTTPS ni le cadenas pour un gage de sécurité
Le HTTPS chiffre la connexion entre votre navigateur et le site, mais ne dit rien de l’honnêteté du site lui-même. Ces certificats sont gratuits et accessibles à tous, escrocs compris : le cadenas rassure, il ne garantit pas.
- Se désabonner des newsletters inutiles
Chaque e-mail non sollicité est une occasion de plus de vous piéger avec un lien ou une pièce jointe malveillante. Faire le tri et se désabonner réduit le désordre de la boîte de réception et, surtout, votre surface d’attaque.
Cherchez le lien de désabonnement en bas de la newsletter, ou l’option de désinscription proposée en haut du message par certaines messageries comme Gmail.
- Ne jamais donner d’informations personnelles lors d’une désinscription
Selon le RGPD, votre adresse e-mail suffit à traiter une demande de désinscription. Si un formulaire réclame davantage, méfiez-vous : tout le reste est superflu et peut cacher une collecte de données abusive.
Phishing & arnaques
- Cultiver la pensée critique et une méfiance bienveillante
Derrière chaque cyberattaque, il y a des humains qui manipulent d’autres humains : près de 90 % des attaques reposent sur une forme d’ingénierie sociale. Remettez toujours en question les demandes inhabituelles et les offres trop belles, tout en restant courtois, c’est votre meilleure défense.
- Reconnaître le phishing par e-mail
Le phishing envoie en masse des e-mails qui semblent provenir d’une source fiable, banque ou service en ligne, pour vous inciter à saisir vos identifiants ou votre numéro de carte sur un site frauduleux. Le faux « compte verrouillé » qui exige une action immédiate en est l’exemple type.
- Reconnaître le spear phishing, ce phishing sur mesure
Contrairement au phishing de masse, le spear phishing vise une personne précise et utilise vos informations personnelles, votre prénom, votre employeur, vos outils, pour paraître crédible. Plus un message semble vous connaître, plus il mérite votre vigilance.
- Reconnaître le smishing, le phishing par SMS
Le smishing usurpe un SMS d’une institution connue, les impôts ou votre banque, pour vous faire cliquer sur un lien malveillant. Un « service-impot-gouv-info.com » n’est pas le site officiel de l’administration : ne cliquez pas, rendez-vous directement sur le vrai site.
- Reconnaître le vishing, l’arnaque par téléphone
Au téléphone, l’escroc se fait passer pour votre banque, une administration ou le support d’une entreprise afin de vous soutirer un code de vérification ou vos coordonnées bancaires. Aucun organisme sérieux ne demande cela par appel : raccrochez et rappelez le numéro officiel.
- Se méfier des demandes d’argent urgentes qui jouent sur l’émotion
Un proche « malade », des « documents perdus », une somme à régler dans la minute : les escrocs mêlent l’argent, l’urgence et l’émotion pour court-circuiter votre bon sens. Plus une demande d’argent est pressante, plus elle doit vous alerter.
- Refuser tout paiement par tickets de recharge (PCS, Transcash, Neosurf)
Ces tickets de recharge sont un moyen de paiement anonyme et intraçable, prisé des arnaqueurs. Dès que ces noms apparaissent dans une discussion, surtout avec un inconnu ou dans une vente en ligne, c’est presque toujours le signe d’une escroquerie.
- Se méfier des gains rapides et des offres trop belles
Des promesses de gains faciles, des récompenses démesurées pour un effort minime ou des produits à des prix incroyablement bas cachent le plus souvent une escroquerie. Si c’est trop beau pour être vrai, c’est que ça l’est.
- Repérer les fautes d’orthographe et la syntaxe étrange
Fautes de frappe, grammaire approximative et tournures bizarres trahissent souvent un message écrit par quelqu’un qui ne maîtrise pas la langue ou par un traducteur automatique. Avec l’IA générative ce signal faiblit, mais il reste un bon réflexe de premier tri.
- Ne jamais payer une location sans passer par un tiers de confiance
Ne réglez jamais un appartement ou une location en direct si vous n’avez pas la certitude absolue que l’annonce est réelle. Passez par un tiers de confiance, une agence ou une plateforme type Airbnb, qui sécurise le paiement et vous protège si tout s’écroule.
- Vérifier l’origine d’une photo par une recherche d’image inversée
Entre l’IA générative et les logiciels qui simulent une webcam à partir de vidéos volées, il est facile de se croire « en face » d’une vraie personne. Une recherche d’image inversée, via Google Images par exemple, révèle souvent d’où provient réellement la photo ou la vidéo.
Enregistrez la photo suspecte, déposez-la dans Google Images ou un moteur de recherche inversée, et regardez si elle apparaît ailleurs sous une autre identité.
Sauvegardes
- Sauvegarder ses données sur un cloud et/ou un disque dur externe
Une panne de disque, un virus ou une simple erreur humaine peuvent effacer d’un coup vos photos de famille et vos documents de travail. La sauvegarde vous « sauve la mise » : le cloud est pratique pour le téléphone, le disque externe pour un gros dossier, et souvent les deux valent mieux qu’un seul.
- Appliquer la règle du 3-2-1-0
La bonne pratique du métier tient en quatre chiffres : 3 copies de vos données, sur 2 types de support différents, dont 1 conservée hors ligne à l’abri des rançongiciels, et 0 erreur en vérifiant régulièrement que vos fichiers s’ouvrent bien. C’est le guide le plus simple pour ne jamais tout perdre.
- Programmer des sauvegardes régulières et automatiques
Pensez à la sauvegarde comme à l’arrosage d’une plante : trop espacée, elle ne sert à rien. Une sauvegarde manuelle s’oublie vite dans un emploi du temps chargé, alors qu’une automatisation, aujourd’hui simple à configurer sous Windows ou macOS, garde vos données à jour sans effort.
- Chiffrer ses sauvegardes
Le chiffrement transforme vos données en un code illisible sans la clé : même si quelqu’un met la main sur votre sauvegarde, il ne pourra rien en tirer. C’est quasi automatique aujourd’hui, mais vérifiez dans les paramètres que l’option de chiffrement est bien activée.
- Tester la restauration de ses sauvegardes
Une sauvegarde ne vaut que si elle se restaure vraiment le jour venu. Faites l’essai à froid : mieux vaut découvrir un problème maintenant, sur un fichier de test, que le jour où vous aurez tout perdu.
Ouvrez votre logiciel de sauvegarde, sélectionnez la sauvegarde voulue, restaurez quelques fichiers ou l’ensemble, puis vérifiez qu’ils sont bien accessibles et fonctionnels.
Sécurité physique
- Poser un cache ou un post-it sur la webcam
Un logiciel espion peut activer votre caméra sans que le voyant ne s’allume, et vous ne le sauriez jamais. Un cache à glissière à quelques euros, ou à défaut un bout de ruban opaque, ferme la question définitivement.
- Utiliser un filtre de confidentialité sur son écran
Dans le train, au café ou en open space, la personne assise à côté lit votre écran aussi bien que vous. Un filtre de confidentialité noircit l’affichage vu de biais et garde vos documents pour vos yeux seuls.
- Ne jamais laisser un appareil sans surveillance en public
Trente secondes suffisent à un inconnu pour brancher une clé USB, emporter l’ordinateur ou jeter un œil à vos messages. Un appareil laissé seul sur une table de café n’est déjà plus vraiment le vôtre.
- Verrouiller manuellement son écran dès qu’on s’éloigne
Le verrouillage automatique met parfois plusieurs minutes à se déclencher, largement de quoi laisser une fenêtre ouverte à qui passe. Prenez le réflexe de verrouiller vous-même, même pour aller chercher un café.
Windows : touche Windows + L. macOS : Ctrl + Cmd + Q. Faites-en un geste automatique.
- Taper ses mots de passe à l’abri des regards
Un mot de passe long et unique ne sert à rien si le voisin de siège l’a vu défiler sur votre clavier. Couvrez votre saisie, orientez l’écran, et méfiez-vous des caméras de sécurité placées en hauteur.
- Activer la protection en cas de vol de l’appareil
Si votre téléphone est volé alors qu’il est déverrouillé, le voleur peut vider vos comptes avant même que vous ayez réagi. Cette protection impose un délai et une vérification biométrique sur les actions sensibles dès que vous quittez vos lieux habituels.
iPhone : Réglages > Face ID et code > Protection en cas de vol de l’appareil. Android : Réglages > Sécurité et confidentialité > Protection antivol (détection de vol, verrouillage à distance).
- Ranger codes de secours et clés de sécurité sous clé
Vos codes de secours 2FA et votre clé physique sont des passe-partout : une photo sur le frigo ou une clé qui traîne annule toute votre sécurité. Gardez-les dans un tiroir verrouillé ou un petit coffre, séparés de l’appareil qu’ils protègent.
- Effacer et réinitialiser un appareil avant de s’en séparer
Une simple suppression de fichiers laisse vos données parfaitement récupérables par le prochain propriétaire. Avant de revendre, donner ou recycler, déconnectez vos comptes puis lancez une réinitialisation d’usine complète.
Déconnectez vos comptes (iCloud, Google), désactivez le verrouillage d’activation, puis réinitialisez aux réglages d’usine. Vérifiez au préalable que le disque était bien chiffré.
- Préparer VPN et partage de connexion avant d’en avoir besoin
Sur le terrain, on n’installe pas un VPN quand on est déjà connecté à un Wi-Fi douteux : c’est trop tard. Configurez à l’avance votre VPN et votre propre partage de connexion mobile, pour ne jamais dépendre d’un réseau inconnu au mauvais moment.
Les outils
Messagerie chiffrée
- Signal — Le standard du chiffrement de bout en bout, protocole ouvert, financé par une fondation et pas par vos données. C’est aussi celui que Chat Control mettrait structurellement en danger.
- Threema — Chiffrée de bout en bout et utilisable sans numéro de téléphone ni e-mail : vous existez sous un identifiant aléatoire, rien à relier à votre identité. Hébergée en Suisse, achat unique, pas d’abonnement.
- Molly — Un client Signal renforcé pour Android : il chiffre la base de données au repos et verrouille l’app après un délai, utile si le téléphone est saisi ou volé. Compatible avec le réseau Signal, vos contacts n’ont rien à changer.
- SimpleX Chat — La seule à ne vous attribuer aucun identifiant, ni numéro ni compte : il n’existe donc pas de carnet de contacts à réclamer chez elle. Le maximum quand la métadonnée « qui parle à qui » est justement ce que vous voulez cacher.
- Session — Un fork de Signal qui supprime le numéro de téléphone : vous créez un compte avec une simple phrase de récupération, et vos messages transitent par un réseau à routage oignon qui masque votre adresse IP. Auditée par Quarkslab, sans serveur central à qui réclamer vos métadonnées.
- Element — Bâtie sur le protocole ouvert Matrix : chiffrée de bout en bout et décentralisée, vous pouvez même héberger votre propre serveur. Pratique pour une famille, une association ou une équipe qui veut garder la main.
- Briar — Une messagerie qui se passe carrément de serveur : les messages voyagent en pair à pair par Tor, et même sans Internet, en Bluetooth ou en Wi-Fi local. Pensée pour les militants et les journalistes quand le réseau est coupé ou surveillé, open source et gratuite.
E-mail & alias
- Proton Mail — Boîte chiffrée, juridiction suisse, modèle économique aligné avec l’utilisateur. Pour la transition, commencez par y router les comptes sensibles : banque, santé, administration.
- Tuta — Boîte chiffrée de bout en bout, y compris le sujet et le carnet d’adresses, hébergée en Allemagne. Une alternative solide à Proton pour sortir vos comptes sensibles des messageries qui vous lisent.
- SimpleLogin — Génère une adresse jetable par service, qui redirige vers votre vraie boîte sans jamais l’exposer. Un spam arrive, vous coupez l’alias, et vous savez exactement qui a revendu votre adresse.
- addy.io — Le même principe que SimpleLogin : une adresse unique par service, qui masque votre vraie boîte et se coupe d’un clic. Open source, avec un palier gratuit généreux et la possibilité de tout auto-héberger.
- mailbox.org — Une boîte payante orientée vie privée, hébergée en Allemagne et sous droit européen, avec chiffrement des messages et une vraie suite en ligne (agenda, contacts, documents). L’alternative sobre à Proton et Tuta pour qui veut un ensemble complet sans nourrir la publicité.
Mots de passe & 2FA
- Bitwarden — Open source, audité, gratuit pour l’essentiel. Le meilleur gestionnaire est celui que vous utiliserez vraiment, et celui-ci ne donne aucune excuse pour ne pas s’y mettre.
- Proton Pass — Le gestionnaire de l’écosystème Proton : coffre open source et audité, avec alias e-mail et générateur de 2FA intégrés. Le bon choix si vous êtes déjà chez Proton et voulez tout au même endroit.
- KeePassXC — Un coffre entièrement local, sans cloud ni compte : le fichier chiffré reste chez vous, à vous de le sauvegarder. Idéal si vous préférez ne rien confier à un service tiers.
- KeePassDX — Le pendant Android de KeePassXC : un coffre entièrement local qui ouvre les fichiers .kdbx standards, sans cloud ni compte. Idéal pour trimballer votre coffre sur le téléphone tout en gardant la clé chez vous, avec déverrouillage par empreinte.
- 1Password — Payant et non open source, mais très soigné et régulièrement audité, avec un mode « voyage » qui masque des coffres au passage d’une frontière. Un choix confortable, surtout en famille ou en entreprise.
- Ente Auth ou Aegis — L’application d’authentification bat le SMS, la clé physique bat l’application. Montez d’un cran sur les comptes qui portent votre vie.
- 2FAS Auth — Une application 2FA open source, simple et sans compte obligatoire : elle génère hors ligne les codes à usage unique de vos comptes et peut les sauvegarder de façon chiffrée. Une alternative claire à Google Authenticator, sans lien avec un géant de la pub.
- YubiKey — Une clé physique exige une présence réelle pour se connecter : elle ne se laisse pas berner par une fausse page de connexion, contrairement au SMS ou au code.
- Vaultwarden — Un serveur compatible Bitwarden réécrit pour être minuscule : vous hébergez votre propre coffre chez vous, sur un simple Raspberry Pi, tout en gardant les applications officielles Bitwarden. Le choix quand vous voulez la commodité du cloud sans confier vos mots de passe à personne.
Navigateur & extensions
- Firefox — Le seul grand navigateur encore porté par une fondation plutôt que par un géant de la publicité. Configurable, résistant au pistage, et la base sur laquelle brancher uBlock Origin.
- LibreWolf — Firefox débarrassé de la télémétrie et préréglé pour la vie privée : uBlock Origin inclus, pistage et empreinte limités dès l’installation. Le choix si vous aimez Firefox mais voulez tout verrouillé d’office, sans passer une heure dans les réglages.
- Brave — Basé sur Chromium mais nettoyé de la télémétrie Google, avec blocage des pubs et des traceurs par défaut. Le bon compromis si vous tenez aux sites qui n’aiment que Chrome mais voulez couper le pistage.
- Mullvad Browser — Développé par le Tor Project et Mullvad pour vous rendre banal : tout le monde se ressemble, donc l’empreinte navigateur ne vous trahit plus. À utiliser avec un VPN, sans se connecter à ses comptes.
- Tor Browser — Le navigateur qui fait passer votre trafic par trois relais du réseau Tor : ni le site visité ni votre fournisseur d’accès ne voient à la fois qui vous êtes et ce que vous consultez. La référence quand l’anonymat n’est pas une option mais une nécessité. Ne l’agrandissez pas, ne vous connectez pas à vos comptes.
- uBlock Origin — Le bloqueur de publicités et de traceurs qui fait référence, léger et efficace, sur tous les navigateurs. Bloquer la pub, c’est aussi bloquer le premier vecteur d’infection du web. Ne réglez rien : les listes par défaut suffisent.
- Privacy Badger — Signé par l’EFF, il apprend tout seul à repérer les traceurs qui vous suivent de site en site et les neutralise. Un bon complément d’uBlock Origin, sans aucun réglage.
- Cromite — Un Chromium durci pour Android, successeur de Bromite : blocage des publicités intégré au moteur, anti-empreinte et télémétrie retirée. Le bon choix sur téléphone si vous restez sur une base Chromium mais voulez couper le pistage de Google.
Moteur de recherche
- DuckDuckGo — Votre historique de recherche est le journal intime que vous ne saviez pas tenir. Le confier à un moteur qui ne le stocke pas est un gain immédiat.
- Startpage — Les résultats de Google, mais sans le profil publicitaire : Startpage sert de tampon et ne conserve ni votre historique ni votre adresse IP. Pratique quand vous voulez la qualité Google sans le pistage.
- Brave Search — Un index maison, indépendant de Google et de Bing, ce qui est rare et compte pour la diversité du web. Gratuit et sans pistage, directement dans votre navigateur.
- Qwant — Un moteur français qui ne vous piste pas et ne construit pas de profil sur vous, hébergé en Europe. Un choix simple pour rester sous juridiction européenne.
- Mojeek — Un moteur britannique qui exploite son propre index, construit par son propre robot d’indexation : ni Google ni Bing derrière les résultats, ce qui est rarissime. Aucun pistage, aucun profil publicitaire, juste une vraie source indépendante pour le web.
- SearXNG — Un métamoteur open source qui interroge des dizaines de moteurs à votre place et vous renvoie les résultats agrégés, sans jamais transmettre votre profil. Choisissez une instance publique sur searx.space, ou hébergez la vôtre pour ne dépendre de personne.
- Kagi — Un moteur de recherche par abonnement, justement pour ne pas être le produit : aucune publicité, aucun profil publicitaire, et la possibilité d’ajuster ou de bloquer des domaines dans vos résultats. Le modèle honnête assumé, où c’est vous le client et pas l’annonceur.
VPN & filtrage DNS
- Proton VPN — Applications open source et auditées, politique sans logs, et surtout un vrai palier gratuit sans limite de données, chose rarissime et honnête. Le point d’entrée idéal pour tester un VPN sérieux.
- Mullvad VPN — Le plus radical sur l’anonymat : pas de compte, un simple numéro de dossier, et vous pouvez même payer en espèces par courrier. Tarif unique, applications open source et auditées, aucune donnée à revendre.
- IVPN — Même philosophie que Mullvad : sans logs, audité, comptes anonymes, et il refuse volontairement le marketing trompeur du « VPN qui rend invisible ». Une maison sérieuse pour qui veut un troisième choix de confiance.
- NextDNS — Un filtrage DNS personnalisable qui bloque publicités, traceurs et sites malveillants avant même leur chargement, sur tous vos appareils d’un coup. Fait aussi office de contrôle parental.
- Quad9 — Un résolveur DNS public gratuit, opéré par une fondation suisse à but non lucratif, qui bloque les domaines malveillants connus avant même leur chargement. Se règle en une ligne sur le téléphone, l’ordinateur ou le routeur.
- AdGuard DNS — Un résolveur DNS qui bloque publicités, traceurs et sites malveillants avant leur chargement, sur tous vos appareils à la fois, avec un tableau de bord et des filtres personnalisables. Palier gratuit sans compte, offre payante pour les réglages fins et les statistiques.
- AdGuard Home — La version que vous installez chez vous : un serveur DNS filtrant, open source et gratuit, qui bloque publicités et traceurs pour tout le réseau de la maison, box et objets connectés compris. Proche de Pi-hole, avec le chiffrement DNS intégré et une interface soignée.
Chiffrement & sauvegarde
- VeraCrypt — Crée des coffres chiffrés ou chiffre un disque entier, y compris une clé USB que vous transportez. Audité publiquement, c’est la référence quand un ordinateur perdu ou volé ne doit rien révéler.
- Cryptomator — Chiffre vos fichiers avant qu’ils ne partent sur Dropbox, Google Drive ou iCloud, fichier par fichier. Le fournisseur héberge du charabia, vous gardez la clé, et rien ne change à votre façon de synchroniser.
- Picocrypt — Un outil minuscule qui chiffre un fichier avec un mot de passe et rien d’autre : pas d’installation, pas de compte, XChaCha20 et Argon2id sous le capot. Audité par Radically Open Security sans faille majeure, désormais figé mais parfaitement stable. Parfait pour un fichier sensible à envoyer ou à ranger.
- GnuPG (Kleopatra) — La brique historique du chiffrement par clé publique : signer et chiffrer des fichiers ou des e-mails que vous seul et votre destinataire pouvez ouvrir. Kleopatra lui donne une interface graphique pour éviter la ligne de commande.
Stockage & partage de fichiers
- Proton Drive — Le Google Drive de l’écosystème Proton : vos fichiers sont chiffrés de bout en bout avant de quitter l’appareil, noms compris. Juridiction suisse, applications open source et auditées, et un palier gratuit pour commencer à sortir vos documents des clouds qui vous lisent.
- Filen — Un cloud chiffré de bout en bout, hébergé et développé en Allemagne, avec des applications open source qu’on peut inspecter. Le tarif le plus abordable de sa catégorie et 10 Go gratuits en zero-knowledge : le fournisseur ne voit jamais vos fichiers.
- Nextcloud — Votre propre cloud, à la maison ou chez un hébergeur de confiance : fichiers, agenda, contacts et photos sous votre seul contrôle, sans dépendre d’un géant. Open source, extensible, et parfait pour une famille ou une association qui veut reprendre la main sur ses données.
- Ente Photos — L’alternative chiffrée de bout en bout à Google Photos et iCloud : vos souvenirs partent chiffrés, avec sauvegarde automatique, albums partagés et plan famille. Open source et audité par Cure53. Même maison que l’application d’authentification Ente Auth.
- OnionShare — Partage un fichier directement d’ordinateur à ordinateur via le réseau Tor : aucun serveur intermédiaire ne stocke quoi que ce soit, votre correspondant reçoit une adresse .onion temporaire. Le bon réflexe pour transmettre un document sensible sans le confier à un cloud.
- Magic Wormhole — Envoie un fichier d’une machine à l’autre avec un simple code de quelques mots, chiffré de bout en bout et sans passer par le cloud. Le code se dit à voix haute ou par téléphone, le transfert s’ouvre puis se referme : rien ne traîne nulle part.
- PairDrop — Un AirDrop universel qui fonctionne directement dans le navigateur : ouvrez la même page sur deux appareils du même réseau et envoyez vos fichiers en local, sans installation ni cloud. Open source et auto-hébergeable, parfait pour passer une photo du téléphone à l’ordinateur sans la faire transiter par Internet.
- Immich — L’alternative auto-hébergée à Google Photos : sauvegarde automatique depuis le téléphone, albums, recherche et reconnaissance de visages, mais tout tourne sur votre propre serveur. Open source et gratuit, pour garder des années de souvenirs sans les confier à un géant qui les analyse.
Système & OS mobile
- GrapheneOS — Un Android renforcé, sans aucun service Google par défaut, réservé aux téléphones Pixel : il durcit le système en profondeur, cloisonne les applications et laisse le compte Google optionnel et sandboxé. Le sommet actuel pour un smartphone qui ne vous espionne pas.
- /e/OS (Murena) — Un Android « dégooglisé » porté par une fondation à but non lucratif, avec sa propre suite (mail, agenda, cloud) et un magasin d’applications qui affiche les pisteurs. Installable sur de nombreux modèles, ou préinstallé sur les téléphones Murena si vous ne voulez pas bricoler.
- LineageOS — Le successeur communautaire de CyanogenMod : un Android propre et sans surcouche du constructeur, disponible pour une longue liste d’appareils, souvent bien après la fin du support officiel. Idéal pour prolonger la vie d’un vieux téléphone tout en le nettoyant des mouchards d’usine.
Notes & productivité
- Standard Notes — Un carnet de notes chiffré de bout en bout, sobre et sans distraction : ni le service ni un pirate ne peut lire ce que vous écrivez. Open source, audité par Cure53 et Trail of Bits, avec un palier gratuit largement suffisant pour l’essentiel.
- Joplin — Un carnet de notes et de tâches open source, avec chiffrement de bout en bout et synchronisation au choix : votre cloud, Nextcloud, ou tout en local. Tout est en Markdown, donc vos notes vous appartiennent vraiment et s’exportent sans prison de format.
- CryptPad — Un Google Docs chiffré dans le navigateur : documents, tableurs, kanban et formulaires que vous éditez à plusieurs sans que le serveur puisse lire quoi que ce soit. Développé en France par XWiki, open source, avec des documents partageables sans même créer de compte.
- Notesnook — Un carnet chiffré de bout en bout pensé pour être simple et multiplateforme, open source jusqu’au serveur. Bon compromis moderne si Standard Notes vous paraît trop austère : mêmes garanties de confidentialité, interface plus douce.
Bureautique
- LibreOffice — La suite bureautique libre de référence, portée par une fondation : traitement de texte, tableur et présentations qui tournent en local, sans abonnement, sans compte et sans cloud qui lit vos documents. Elle ouvre les formats Microsoft, donc vous n’êtes prisonnier d’aucun éditeur.
- OnlyOffice — Une suite bureautique dont la mise en page colle au plus près de Word, Excel et PowerPoint : pratique quand vous échangez des fichiers .docx ou .xlsx sans vouloir de mauvaise surprise de rendu. Open source, utilisable en local ou sur votre propre serveur, avec un palier gratuit et des offres payantes pour le collaboratif.
- Collabora Online — L’édition de documents à plusieurs dans le navigateur, façon Google Docs, mais que vous hébergez vous-même : le texte et les tableurs restent sur votre serveur, jamais chez un tiers qui les analyse. Bâtie sur LibreOffice, elle se branche sur Nextcloud pour une suite en ligne entièrement sous votre contrôle.
Cartes & navigation
- Organic Maps — Une application de cartes et de navigation bâtie sur OpenStreetMap, entièrement hors ligne et sans pistage : téléchargez les cartes une fois, puis roulez ou marchez sans qu’aucun serveur ne trace vos déplacements. Ni pub, ni compte, ni collecte.
- OsmAnd — L’autre grande application de cartes OpenStreetMap hors ligne, plus riche en options : itinéraires vélo, randonnée, courbes de niveau, navigation vocale. Un peu plus touffue qu’Organic Maps, mais imbattable pour qui veut tout régler sans rien confier à Google Maps.
Métadonnées & nettoyage
- Scrambled Exif — Avant de partager une photo, ses données EXIF trahissent le lieu, l’heure et l’appareil : cette petite application Android les efface d’un simple partage. Elle s’insère dans le menu « Partager », vous choisissez Scrambled Exif, et l’image ressort nettoyée.
- ExifCleaner — Le pendant bureau : glissez vos photos, vidéos ou PDF dans la fenêtre et il efface les métadonnées cachées (position GPS, modèle d’appareil, date) d’un coup. Open source, sur Windows, Mac et Linux, pour ne pas publier plus que l’image elle-même.
- MAT2 — Le « Metadata Anonymisation Toolkit » : il retire les métadonnées cachées de vos images, PDF, documents bureautiques, fichiers audio et vidéo, en une commande ou d’un clic droit. Open source et gratuit, c’est le moteur sur lequel s’appuient beaucoup d’autres outils pour ne jamais publier plus que le fichier lui-même.
Réseaux sociaux éthiques
- PixelFed — Le partage de photos façon Instagram, mais sans publicité et sans algorithme : pas de fil manipulé, pas de collecte pour revendre votre attention. Open source et gratuit, sur des serveurs indépendants sans entreprise unique aux commandes.
Suppression de traces
- JustDeleteMe — Un annuaire qui recense, service par service, où et comment supprimer votre compte, avec un code couleur du plus simple au quasi impossible. Le point de départ concret pour réduire votre empreinte : fermez les comptes que vous n’utilisez plus avant qu’ils ne fuient.
- Redact — Efface d’un coup vos anciens messages, photos et likes sur des dizaines de plateformes, de X à Reddit en passant par Discord et Facebook. Idéal pour nettoyer des années de traces publiques que vous ne voulez plus voir ressurgir, avec des filtres par date ou par mot-clé.
- Cyd — Une application locale qui efface vos anciens tweets, likes et messages sur X, ainsi que vos posts sur Bluesky, à partir d’une archive téléchargée sur votre propre machine. Successeur de Semiphemeral, open source, pour reprendre la main sur ce que ces réseaux gardent de vous.
- BleachBit — Vide les caches, journaux et fichiers temporaires qu’accumulent votre système et vos logiciels, et peut écraser l’espace libre pour rendre les fichiers supprimés irrécupérables. Open source et gratuit, sur Windows et Linux, pour effacer les miettes que vous croyiez déjà parties.
- Universal Android Debloater Next Generation — Un outil sur ordinateur qui retire les applications préinstallées et inutiles (bloatware) de votre Android, sans aucun root, en le branchant simplement en USB. Open source et gratuit, avec des listes qui expliquent le rôle de chaque paquet pour ne désactiver que ce que vous voulez vraiment voir partir.
Vérification & vie privée
- Have I Been Pwned — Entrez votre email, découvrez quelles fuites vous concernent, changez ces mots de passe en premier. Une fuite ne meurt jamais, mais on peut la rendre inutile.
- ToS;DR — Démystifie les politiques de confidentialité et conditions d’utilisation en un coup d’œil, pour savoir ce que vous acceptez vraiment avant de cliquer « Accepter ».
- AmIUnique — Testez l’empreinte que votre navigateur laisse : on vous identifie même sans cookies, par vos polices, votre résolution, vos extensions. Prendre conscience, c’est déjà se défendre.
- Cover Your Tracks — L’outil de l’EFF qui montre en direct comment les traceurs et l’empreinte de votre navigateur vous suivent, et si vos protections tiennent vraiment. Un bon complément d’AmIUnique pour vérifier que votre bloqueur fait bien son travail.
- Exodus Privacy — Analyse les applications Android et liste les pisteurs et permissions cachés à l’intérieur, avant que vous ne les installiez. De quoi comprendre lesquelles espionnent en douce et choisir en connaissance de cause.
- Bloctel — Le registre officiel gratuit d’opposition au démarchage téléphonique. Inscrivez votre numéro et fermez la porte d’entrée la plus banale de l’arnaque par téléphone.
- Canarytokens — De faux fichiers ou liens piégés qui vous alertent dès qu’on y touche : une mine posée dans vos données, qui révèle une intrusion avant les dégâts. Gratuit.
Le glossaire
- Add-ons store
- Plateforme en ligne pour télécharger et installer des extensions ou des compléments logiciels.
- Adresse IP
- Identifiant numérique attribué à chaque appareil connecté à un réseau informatique utilisant l'Internet Protocol.
- Adware
- Logiciel qui affiche des publicités sur l'ordinateur de l'utilisateur, souvent sans son consentement.
- AES-256
- Standard de chiffrement avancé utilisant des clés de 256 bits pour sécuriser les données.
- Antimalware
- Logiciel conçu pour détecter, prévenir et éliminer les logiciels malveillants.
- Antivirus
- Logiciel conçu pour détecter, prévenir et éliminer les virus informatiques et d'autres types de logiciels malveillants.
- App Store
- Plateforme de distribution numérique pour applications mobiles développée par Apple.
- BitLocker
- Technologie de chiffrement de disque intégrée à certaines versions de Windows pour protéger les données.
- Chiffrement
- Processus de transformation des informations en code pour en sécuriser l'accès.
- CNIL
- Commission nationale de l'informatique et des libertés, autorité française de protection des données personnelles.
- Confidentialité (des données)
- Principe visant à limiter l'accès aux informations aux personnes autorisées.
- Cookie
- Petit fichier stocké sur l'ordinateur de l'utilisateur par un site Web pour enregistrer des informations spécifiques.
- Cryptomonnaie
- Monnaie numérique utilisant la cryptographie pour sécuriser les transactions et contrôler la création de nouvelles unités.
- Cyberbullying
- Harcèlement en ligne où les individus sont ciblés par des menaces, des commentaires négatifs, ou des diffusions de contenus personnels sans consentement.
- Cybersécurité
- Pratiques, technologies et processus conçus pour protéger les réseaux, les ordinateurs, les programmes et les données contre les attaques.
- Dark Web
- Partie du Web accessible uniquement via des logiciels spécifiques, permettant l'anonymat et souvent associée à des activités illégales.
- DDoS
- Attaque par déni de service distribué, visant à rendre une machine ou un réseau indisponible en surchargeant le système avec des demandes.
- Deep Web
- Partie du Web non indexée par les moteurs de recherche traditionnels, incluant des bases de données et des services en ligne sécurisés.
- Disponibilité (des données)
- Principe assurant que les informations sont accessibles et utilisables à la demande par les personnes autorisées.
- DNS
- Système de noms de domaine qui traduit les noms de domaine lisibles par l'homme en adresses IP.
- DPD/DPO
- Délégué à la protection des données, ou Data Protection Officer, responsable de la conformité d'une organisation aux lois sur la protection des données.
- Entropie (mot de passe)
- Mesure de l'aléatoire ou de l'imprévisibilité d'un mot de passe, indiquant sa résistance contre les tentatives d'attaque par force brute.
- FileVault
- Fonctionnalité de chiffrement de disque intégrée à MacOS pour protéger les données stockées.
- Filtre DNS
- Outil de sécurité qui bloque l'accès à des sites Web malveillants ou non souhaités en filtrant les requêtes DNS.
- Hacker
- Personne qui utilise ses compétences informatiques pour explorer, exploiter ou sécuriser des systèmes informatiques.
- Hash (mot de passe)
- Fonction de chiffrement transformant un mot de passe en une chaîne de caractères fixe, utilisée pour sécuriser le stockage des mots de passe.
- HTTP
- Protocole de transfert hypertexte, fondement de la communication de données sur le World Wide Web.
- HTTPS
- Version sécurisée de HTTP, utilisant le chiffrement SSL/TLS pour sécuriser les données transmises.
- ICANN
- Corporation Internet pour l'attribution des noms et des numéros, organisation supervisant l'allocation des identifiants uniques sur Internet, y compris les adresses IP et les noms de domaine, pour assurer le bon fonctionnement et la stabilité du réseau global.
- Ingénierie sociale
- Techniques de manipulation psychologique utilisées pour obtenir des informations confidentielles ou un accès non autorisé.
- Intégrité (des données)
- Assurance que les informations sont exactes et complètes, et n'ont pas été modifiées de manière non autorisée.
- IoT / Objets connectés
- Appareils et objets du quotidien connectés à Internet, permettant l'interaction et le partage de données à distance.
- Juice jacking
- Attaque par laquelle un chargeur USB public est utilisé pour installer des logiciels malveillants sur un appareil ou pour voler des données.
- LAN
- Réseau local, réseau informatique qui relie des ordinateurs dans une zone géographique limitée, comme une maison ou un bureau.
- MacOS
- Système d’exploitation développé par Apple pour les ordinateurs Macintosh.
- Malware
- Logiciel malveillant conçu pour endommager, perturber ou accéder sans autorisation à des systèmes informatiques.
- Man In The Middle (MITM)
- Attaque où l'attaquant intercepte et éventuellement modifie les communications entre deux parties sans leur consentement.
- NFC
- Communication en champ proche, technologie permettant des échanges de données sans contact à courte distance.
- Norton
- Marque de logiciels de sécurité informatique, notamment connue pour ses solutions antivirus.
- Open source
- Logiciels dont le code source est accessible au public, permettant la modification et la distribution libre.
- Open SSL
- Implémentation open source des protocoles SSL et TLS pour le chiffrement des communications sur Internet.
- Pare-feu
- Dispositif de sécurité réseau conçu pour bloquer l'accès non autorisé tout en permettant les communications autorisées.
- Phishing
- Technique de fraude en ligne visant à obtenir des informations personnelles en se faisant passer pour une entité de confiance.
- Pop-up
- Fenêtre publicitaire ou informative qui s'ouvre automatiquement sur l'écran de l'utilisateur lors de la navigation sur Internet.
- Rançongiciel (ransomware)
- Logiciel malveillant qui chiffre les fichiers de la victime et exige une rançon pour les déchiffrer.
- RGPD
- Règlement général sur la protection des données, réglementation européenne visant à protéger les données personnelles des citoyens de l'UE.
- Skimming
- Technique de fraude où des dispositifs sont utilisés sur des terminaux de paiement pour voler les informations des cartes bancaires.
- Smishing
- Variante de phishing impliquant l’envoi de SMS frauduleux pour obtenir des informations personnelles ou financières.
- Spear phishing
- Attaque ciblée de phishing qui vise des individus ou des organisations spécifiques pour voler des informations ou installer des logiciels malveillants.
- Spoofing
- Technique consistant à falsifier l'identité d'un expéditeur dans des communications électroniques pour tromper le destinataire.
- SSL (Secure Sockets Layer)
- Protocole de sécurisation des échanges sur Internet, prédécesseur de TLS.
- TLS (Transport Layer Security)
- Protocole de sécurisation des échanges sur Internet, successeur de SSL, qui fournit des communications sécurisées.
- Triade CIA / CID
- Principe de sécurité informatique basé sur la confidentialité, l’intégrité et la disponibilité des données.
- Typosquattage
- Pratique malveillante consistant à enregistrer des noms de domaine ressemblant à des marques populaires dans le but de tromper les utilisateurs.
- Vishing (voice phishing)
- Technique d'escroquerie impliquant l'utilisation de communications vocales, telles que les appels téléphoniques, pour extraire des informations sensibles ou personnelles.
- VPN (Virtual Private Network)
- Réseau privé virtuel permettant de créer une connexion sécurisée et cryptée sur un réseau moins sécurisé, comme Internet.
- Vulnérabilité
- Faiblesse dans un système informatique pouvant être exploitée par une menace pour enfreindre la sécurité du système.